Cloudflare fixes Containers cross-tenant flaw exposing customer data

Cloud­fla­re so­lu­cio­nó un fallo de se­gu­ri­dad pre­sen­te en Con­tai­ners y Sand­bo­xes que daba la po­si­bi­li­dad a quie­nes te­nían una cuen­ta de pago de re­cu­pe­rar in­for­ma­ción re­si­dual per­te­ne­cien­te a otros usua­rios que uti­li­za­ban el mismo host fí­si­co. Este in­con­ve­nien­te fue no­ti­fi­ca­do a tra­vés de una pla­ta­for­ma de di­vul­ga­ción por un in­ves­ti­ga­dor de se­gu­ri­dad de una em­pre­sa tec­no­ló­gi­ca.

El pro­ble­ma ra­di­ca­ba en un al­ma­ce­na­mien­to com­par­ti­do con­fi­gu­ra­do para omi­tir la ini­cia­li­za­ción a ceros de blo­ques re­uti­li­za­dos. Al eli­mi­nar el vo­lu­men de un disco, los blo­ques fí­si­cos vol­vían a un de­pó­si­to común, y al es­cri­bir en un con­te­ne­dor nuevo, una parte del blo­que que­da­ba sin so­bres­cri­bir­se, lo que per­mi­tía leer datos an­ti­guos de otro clien­te como bases de datos, di­rec­to­rios y cre­den­cia­les, aun­que sin otor­gar con­trol sobre la víc­ti­ma o el host ni la ca­pa­ci­dad de al­te­rar in­for­ma­ción ajena.

La em­pre­sa apli­có las co­rrec­cio­nes de forma au­to­má­ti­ca en su in­fra­es­truc­tu­ra, por lo que los usua­rios no de­bie­ron rea­li­zar nin­gu­na ac­ción. Tras re­vi­sar re­gis­tros y datos his­tó­ri­cos, se de­ter­mi­nó que no exis­tie­ron in­di­cios de que in­for­ma­ción real de los clien­tes haya sido ex­pues­ta me­dian­te este pro­ce­di­mien­to.