Cloudflare, Müşterilerinin Konteyner Verilerini Açığa Çıkaran Kritik Bir Güvenlik Açığını Düzeltiyor
Cloudflare, ücretli müşterilerin paylaşımlı konteyner altyapısında diğer kiracılar tarafından bırakılan verileri kurtarmasına olanak tanıyan bir güvenlik açığını düzeltti. Şirket, 24 Eylül tarihli açıklamasında, mevcut geçmiş telemetri verilerinde kötü amaçlı bir istismara dair hiçbir kanıt bulamadığını ve müşterilerin herhangi bir işlem yapmasına gerek olmadığını belirtti.
Cloudflare'ın olay raporunda ayrıntılı olarak açıklanan sorun, müşterilerin depolanan verileri arasındaki ayrımı etkiliyordu. Bu durum, barındırılan bilgi işlem güvenliğinin, bir iş yükü bittikten sonra depolama alanına ne olduğuna ve çalışırken onu çevreleyen korumalara ne kadar bağlı olduğunu vurguluyor.
1. Olayın Özeti ve Etkisi
Cloudflare; Cloudflare Sandboxes ve Browser Run gibi paylaşımlı konteyner/mikro sanal makine altyapısında, farklı kiracılara (müşterilere) ait kalıntı disk verilerinin diğer kullanıcılar tarafından okunabilmesine yol açan kritik bir depolama izolasyon açığını giderdi.
Açığa Çıkan Veri Türleri: Güvenlik firması Accomplish (Oren Yomtov liderliğindeki ekip) tarafından yapılan araştırmada; SQLite veritabanları, Chromium kullanıcı profilleri, ortam yapılandırmaları, dizin listeleri ve kimlik bilgisi (credential) dosyalarının okunabildiği tespit edildi.
Mevcut Durum: Kötü amaçlı bir istismara dair telemetri kaydı bulunmadığı ve müşterilerin manuel bir aksiyon almasına gerek olmadığı bildirildi.
2. Kök Neden Analizi: skip_block_zeroing
Güvenlik açığı, bellekten veya çalışan süreçten kaçış (sandbox escape) kaynaklı değil; Linux çekirdeğinin ince tahsis (thin provisioning) mekanizmasındaki depolama yapılandırmasından kaynaklanmıştır:
Sistemde skip_block_zeroing seçeneği aktif bırakıldığı için, yeni tahsis edilen 64 KiB'lık bir depolama bloğuna yalnızca 4 KiB'lık veri yazıldığında, kalan 60 KiB'lık alan sıfırlanmamış (wipe/zero out edilmemiş) ve önceki kiracıdan kalan artık verilerle birlikte yeni iş yüküne sunulmuştur.
Saldırganlar doğrudan hedef seçememekte; erişim, paylaşımlı blokların yeniden tahsisine ve rastlantısal yerleşime bağlı olarak gerçekleşmektedir.
3. Mimari ve Güvenlik Çıkarımları
Sanallaştırma İzolasyonu Yetersizliği: Firecracker gibi mikro-VM teknolojileri CPU, bellek ve sistem çağrıları (seccomp, KVM, cgroups) düzeyinde güçlü çalışma zamanı (runtime) izolasyonu sağlasa da; ana bilgisayar (host) tarafından sağlanan blok aygıtlarının yaşam döngüsü ve temizliği doğru yönetilmediğinde izolasyon sınırları çökmektedir.
"Zaman Ekseninde İzolasyon" Gereksinimi: Çok kiracılı (multi-tenant) ortamlarda izolasyon yalnızca eşzamanlı çalışan iş yükleri arasında değil; bir iş yükü sonlandıktan sonra aynı kaynağı devralan sonraki iş yükleri arasında da (zamansal olarak) sağlanmalıdır.
AI Ajanları ve Sandbox Riskleri: Kullanıcı adına kod çalıştıran dinamik AI ajanları, CI/CD hatları ve web tabanlı IDE ortamlarında sırların (API key, token vb.) yürütme ortamında saklanmaması; kimlik doğrulamanın Worker katmanı gibi dış mekanizmalarla yönetilmesi gerektiği vurgulanmaktadır.
4. İyileştirme Süreci
Cloudflare sorunu iki aşamada çözmüştür:
Yapılandırma Düzeltmesi (7 Eylül): Blok sıfırlama zorunlu hale getirilerek gelecekteki blok tahsislerinin temiz olması sağlandı.
Kalıntı Temizliği (19 Eylül): Daha önceden oluşturulmuş güvensiz durumları ortadan kaldırmak amacıyla ön ek konteyner diskleri ve önbelleğe alınmış disk anlık görüntüleri (snapshots) kalıcı olarak temizlendi.
Kaynak: The Cyber Security Hub™