Cloudbleed

Le jeudi 23 février 2017, Cloudflare a publié un article de blogue mentionnant[12] :

« Le bug était grave, car les informations révélées pouvaient contenir des informations privées et parce que certaines de ces informations avaient été mises en cache par les moteurs de recherche. Nous n'avons pas encore découvert de preuves d'exploits malveillants du bug ou d'autres rapports de son existence ... La plus grande période de vulnérabilité a été du 13 février au 18 février. Durant cette période, 1 requête sur 3300000 a pu entraîner des fuites de mémoire (soit environ 0,00003 % des demandes). »

Cloudflare a reconnu que des informations privées auraient pu être divulguées dès le 22 septembre 2016. La société a également indiqué que l'une de ses clés privées, utilisées pour le chiffrement machine à machine, a été divulguée[13].

John Graham-Cumming, le directeur de la technologie de Cloudflare, a noté que les clients de Cloudflare, tels que Uber et OkCupid, n'avaient pas été informés des fuites dues aux risques de sécurité impliqués dans la situation. « Il n'y a pas eu de communication en dehors de Cloudflare - uniquement avec Google et les autres moteurs de recherche", a-t-il déclaré[5].

Graham-Cumming a également déclaré que « malheureusement, c'était l'ancien logiciel qui contenait un problème de sécurité latent et que ce problème s'est manifesté lorsque nous étions en train de migrer vers un nouveau logiciel ». Il a ajouté que son équipe avait déjà commencé à tester son logiciel pour d'autres problèmes possibles[6].

Tavis Ormandy (en) de l'équipe Project Zero a écrit que Cloudflare initialement lui avait envoyé un brouillon d'article qui « minimisait considérablement le risque pour les clients ». Il a également exprimé sa déception que Cloudflare n'ait pas agi plus rapidement dans le processus de correction[5].

Uber a déclaré que l'impact sur son service avait été très limité[10]. Un porte-parole d'Uber a ajouté « seulement quelques jetons de session ont été impliqués et ont depuis été changés. Les mots de passe n'ont pas été exposés »[14].

Le directeur général d'OkCupid, Elie Seidman, a déclaré : « CloudFlare nous a informés la nuit dernière de leur bug et nous avons examiné son impact sur nos membres. Notre enquête initiale a révélé une exposition minimale ou nulle. Si nous déterminons que certains de nos utilisateurs a été affectés, nous les informerons rapidement et nous prendrons des mesures pour les protéger. »[10] - [14].

Le représentant de Fitbit a déclaré que la société étudiait le problème et que les utilisateurs concernés peuvent changer leurs mots de passe[14].