חוקרי אבטחה בחברת Searchlight Cyber פרסמו פרטים על שרשרת חולשות (Chained Vulnerabilities) שאותרה במערכות ה-CDN של חברת Cloudflare, המאפשרת לעקוף מגנוני הגנה של מדיניות אבטחת תוכן (CSP – Content Security Policy) ולהריץ קוד JavaScript זדוני בדומיינים מאובטחים.
המחקר, שפורסם תחת הכותרת "Cache Me If You Can", מדגים כיצד פגמים נקודתיים במנגנוני עיבוד התמונות של Cloudflare יכולים לשמש תוקפים לביצוע מתקפות Cross-Site Scripting (XSS).
ניצול נתיבי הניהול המנוהלים (/cdn-cgi/)
חברת Cloudflare מספקת שירותי הגנה ותשתית למיליוני אתרים ברחבי העולם, ומוסיפה אוטומטית נתיב ניהול פנימי בשם /cdn-cgi/ לכל אתר המחובר לשירותיה. נתיב זה אחראי על תכונות מתקדמות כמו ניתוח תנועה, הגנות בוטים ואופטימיזציה של תמונות (Image Transformations).
מכיוון שדפי הניהול הללו נטענים מתוך הדומיין של הלקוח עצמו, כל פגיעות שמתגלה בהם מקבלת את רמת האמון של האתר המארח. החוקרים הצליחו למצוא פרצת אבטחה בדרך שבה המערכת מעבדת קובצי תמונה מסוג SVG דרך מנגנון הסינון הפנימי שלה (svg-hush המבוסס על שפת Rust וספריית xml-rs).
שרשור הפגמים ועקיפת מנגנון הסינון
במהלך הבדיקה גילו החוקרים כי בעוד שמנגנון הסינון מנקה ומאבטח מאפיינים רגילים בקובצי ה-SVG, הוא אינו מטפל כראוי בערכי מרחב השמות (xmlns – XML Namespace):
- מנגנון הניתוח כותב את ערכי ה-xmlns כמות שהם ללא סינון או בריחה (Unescaped).
- תוקף יכול להחדיר תווים אסורים כמו מרכאות בתוך ערך ה-xmlns, לשבור את מבנה הקובץ ולשתול סקריפט JavaScript זדוני שיעקוף את בדיקות התקינות של המערכת.
- שרשור החולשה יחד עם ניצול נתיב ה-
/cdn-cgi/image/מאפשר להריץ את הקוד בדפדפן של הקורבן תוך עקיפה מלאה של חוקי ה-CSP הנוקשים שהאתר מגדיר.
החוקרים הציגו את הממצאים בפני צוותי האבטחה של Cloudflare לצורך טיפול וסגירת פרצות האבטחה במערך עיבוד התמונות.
