Uma nova falha de segurança de grande alcance pode ter posto em risco a segurança de muitos usuários em todo o mundo. O problema foi batizado de Cloudbleed, em referência ao serviço de segurança e infraestrutura CloudFlare, onde a vulnerabilidade foi encontrada — e resolvida.
O caso foi descoberto na última quinta-feira (23) — antes do carnaval no Brasil — e já foi corrigido, mas pode ter comprometido dados importantes de vários serviços, como o Google e o Uber. A recomendação é que os usuários destas plataformas troquem suas senhas imediatamente.
Falha em site pode ter exposto informações confidenciais de serviços como o Uber (Foto: Reprodução/Cloudflare)
O bug foi descoberto pelo pesquisador do Google, Tavis Ormandy, no dia 17 de fevereiro. De acordo com os dados, começou a ocorrer no dia 22 de setembro de 2015 — há mais de um ano. O problema consistia em inserir dados aleatórios de clientes da empresa em sites de terceiros.
Como as informações transmitidas dependiam do que estava na memória do servidor no momento, não é possível saber com precisão quais tipos de informação foram vazadas, mas as possibilidades incluem cookies, credenciais de login, chaves de API ou de criptografia interna.
Correção da falha
A boa notícia é que o Cloudflare corrigiu a falha menos de uma hora após sua divulgação, terminando o processo em menos de sete horas. Em seguida, a desenvolvedora, em conjunto com o Google e outros sites de busca, fez uma varredura completa nestes sistemas para localizar e eliminar qualquer dado secreto que tenha sido armazenado neles.
De acordo com dados divulgados pelo CEO do Cloudflare, Matthew Prince, cerca de três mil sites de clientes, que usavam configurações específicas, foram afetados e, até agora, foram descobertos dados de 150 vítima diferentes de violação de dados, em razão deste episódio específico. A Wired cita serviços como Fitbit, Uber e OKCupid como focos dos vazamentos de informações.
“É, obviamente, um problema sério para nós e mais sério ainda para nossos clientes. Nós não gostamos de errar. Isso machuca. E eu não quero diminuir a severidade do que ocorreu, foi um bug muito ruim”, admitiu.
Embora a chance de um trecho específico de dados ter sido vazado ser baixo, a recomendação de especialistas de segurança é que os usuários mu
Apesar do potencial de danos que podem ser causados pela vulnerabilidade, não foram encontrados registros de dados obtidos através dela em sites que costumam ser usados para divulgar estas informações, como o Pastebin. Os especialistas também garantem que o problema não é prático o suficiente para ser explorado em ataques de grande escala e por atacantes mais leigos.
Falha em site pode ter exposto informações confidenciais de serviços como o Uber (Foto: Reprodução/Cloudflare)