أعلنت شركة خدمات الإنترنت Cloudflare التي توفر خدمات التشفير SSL لملايين المواقع عبر شبكة الإنترنت عن قيامها مؤخراً بتصحيح الخلل الذي قد يكشف مجموعة واسعة من بيانات العملاء مثل كلمات السر والدردشات النصية وغيرها من المعلومات المخزنة من قبل ملايين المواقع.
وتعرضت الشركة لخلل أدى إلى تسريب البيانات الشخصية الحساسة بما في ذلك ملفات تعريف الارتباط ومفاتيح الدوال البرمجية وكلمات السر لملايين المواقع، وقالت الشركة أنها لم تحدد بعد وجود أي استخدامات ضارة للمعلومات، لكنها نبهت إلى وجود مشكلة إضافية لأن بعض البيانات قد تم تخزينها مؤقتاً عن طريق محركات البحث.
واكتشف الباحث ترافيس أورماندي العامل ضمن فريق جوجل الأمني Project Zero هذا الخلل في 18 فبراير، والذي يسمح بتخزين البيانات الحساسة ضمن المواقع التي تعمل عبر خدمات شركة Cloudflare مؤقتاً من قبل محركات البحث بما في ذلك جوجل، إلا ان تأثيره قد يكون ممتداً منذ 22 سبتمبر/ايلول من العام الماضي.
وأضاف ترافيس بانه وجد حجوزات فنادق وكلمات سر من تطبيقات إدارة كلمات السر ورسائل كاملة من مواقع التعارف ضمن البيانات المخزنة مؤقتاً، وتحدث عن وجود طلبات HTTPS كاملة وعناوين IP للعملاء وردود كاملة وكلمات سر ومفاتيح وبيانات وكل شيء.
وعمل مهندسي شركة Cloudflare على تعطيل ثلاث ميزات تستخدم التعليمات البرمجية الحاوية على الخلل، والتي تسببت في المشكلة، وانتقلت الشركة للعمل مع محركات البحث التي عملت على تخزين تلك البيانات مؤقتاً لديها من أجل مسحها.
وتعمل العددي من المواقع ذات الشعبية عبر خدمات Cloudflare بما في ذلك Uber وFitbit وOkCupid، إلا أن الشركة قللت من تأثير هذا الخلل على العملاء، وأوضحت في بيان لها بأنها لم تكتشف أي دليل على وجود استعمال سيء.
وبحسب بيان الشركة فإن “فترة التأثير الأكبر لهذا الخلل كانت بين 13 و18 فبراير/شباط الحالي مع حوالي طلب واحد في كل 3.300.000 طلب HTTP من خلال Cloudflare يحتمل أن يكون قد أسفر عن تسرب في الذاكرة”.
وطمأنت شركة 1Password لإدارة كلمات المرور العملية لدى شركة Cloudflare مستخدميها أن الخلل لم يعرض أي من بياناتها للخطر، وأضافت “نريد أن نؤكد في الوقت الراهن ونذكر الجميع أننا صممنا 1Password مع وجود توقع حول إمكانية فشل SSL/TLS”.
وتسربت بعض رموز الجلسات الخاصة بشركة خدمات الركوب أوبر Uber، مما قد يعرض بعض حسابات أوبر للخطر، إلا أن الشركة قالت أن هذه الرموز قد جرى تغييرها الآن ولا يوجد تسريب فيما يخص كلمات مرور المستخدمين.
