Redazione RHC : 2 Ottobre 2023 16:47
I ricercatori di Certitude hanno scoperto che il firewall di Cloudflare e la protezione DDoS possono essere aggirati attaccando altri utenti dall’interno della piattaforma stessa. Il problema sorge a causa dell’infrastruttura condivisa a cui hanno accesso tutti gli utenti, che consente agli aggressori di attaccare i clienti Cloudflare tramite Cloudflare stesso.
Gli esperti hanno scoperto due problemi che riguardano le funzionalità Authenticated Origin Pulls di Cloudflare e Indirizzi IP di Cloudflare nella lista consentita.
Authenticated Origin Pulls è una funzionalità di sicurezza di Cloudflare che aiuta a garantire che le richieste HTTP(S) inviate al server di origine provengano da Cloudflare e non da un utente malintenzionato. Quando si configura questa funzionalità, i clienti possono scaricare i propri certificati utilizzando l’API o generarli tramite Cloudflare, che è il modo più semplice.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Una volta configurato, Cloudflare utilizza i certificati SSL/TLS per autenticare tutte le richieste HTTP(S) tra i reverse proxy e il server di origine del cliente, impedendo alle richieste non autorizzate di accedere al sito.
Tuttavia, come spiegano, gli aggressori possono aggirare questa protezione perché Cloudflare utilizza un certificato comune per tutti i client, anziché certificati individuali per ciascun tenant, con il risultato che tutte le connessioni originate da Cloudflare vengono consentite.
“Un utente malintenzionato potrebbe creare il proprio dominio su Cloudflare e specificare l’indirizzo IP della vittima come record DNS A. Potrebbe quindi disattivare tutta la sicurezza per quel dominio nel proprio tenant e lanciare un attacco attraverso l’infrastruttura di Cloudflare. Questo approccio consente agli aggressori di aggirare le difese della vittima”, ha spiegato Certitude.
Ciò significa che gli aggressori con un account Cloudflare possono indirizzare il traffico dannoso verso altri clienti Cloudflare o dirigere i propri attacchi attraverso l’infrastruttura dell’azienda.
Secondo gli esperti, l’unico modo per proteggersi è utilizzare certificati personalizzati, non certificati Cloudflare. Il secondo problema è legato all’utilizzo della tecnologia di sicurezza Alwayslist Cloudflare IP Addresses, che consente al traffico proveniente solo dagli indirizzi IP Cloudflare di raggiungere i server originali dei clienti.
In questo caso, l’aggressore può anche creare un dominio su Cloudflare e specificare l’indirizzo IP della vittima attraverso un record DNS A. Successivamente, l’aggressore deve disattivare tutte le funzioni di sicurezza del dominio e inviare del traffico dannoso attraverso l’infrastruttura Cloudflare, che dal punto di vista della vittima sembrerà in questo caso attendibile, quindi consentito.
Per proteggersi da tali attacchi, i ricercatori suggeriscono di utilizzare Cloudflare Aegis (se possibile) per determinare un intervallo più preciso di indirizzi IP assegnati a ciascun client.
Gli esperti sottolineano di aver informato gli sviluppatori di Cloudflare delle loro scoperte di marzo 2023 attraverso un programma bug bounty, ma la richiesta è stata chiusa con il segno “informativo” e non è stata ricevuta altra risposta dall’azienda.
RedazioneIl mondo dei supercomputer è entrato nell’era dell’exascale computing. La classifica TOP500 di giugno per il 2025 ha registrato tre sistemi americani ai vertici, un debutto clamoroso dall’Europ...
Il team di Darklab, la community di esperti di threat intelligence di Red Hot Cyber, ha individuato un annuncio sul marketplace del dark web “Tor Amazon”, l’analogo criminale del celebre e-comme...
Microsoft ha ufficialmente reso pubblico il codice sorgente della sua prima versione di BASIC per il processore MOS 6502, che per decenni è esistito solo sotto forma di fughe di notizie, copie da mus...
Dopo una lunga pausa estiva, nella giornata di ieri il CERT-AgID ha pubblicato un nuovo avviso su una nuova campagna MintsLoader, la prima dopo quella registrata lo scorso giugno. Rispetto alle preced...
Un avanzato sistema di backdoor associato al noto gruppo di cyber spionaggio russo APT28 permette ai malintenzionati di scaricare dati, caricare file e impartire comandi su pc infettati. Questo sistem...
