Cloudbleed: la fuga di memoria nei proxy Cloudflare del 2017

Correzione del 31 ottobre 2026. Corretta la descrizione del difetto e distinta la fuga di dati applicativi da quella delle chiavi private TLS dei clienti, esclusa dal rapporto Cloudflare.

Nel febbraio 2017 Cloudflare rese pubblico Cloudbleed, un errore nel parser HTML usato da alcuni servizi dei suoi proxy. In determinate condizioni, una risposta poteva includere frammenti di memoria che non appartenevano alla pagina richiesta. Rapporto tecnico Cloudflare.

Perché potevano comparire dati di un altro sito

L'infrastruttura condivisa gestiva richieste di clienti diversi. I frammenti potevano contenere informazioni sensibili come cookie, token e dati di richieste. Alcuni contenuti furono anche memorizzati dai motori di ricerca.

Il difetto riguardava una lettura oltre i limiti del buffer e il controllo della sua fine. Non va descritto come una funzione che consegnava a richiesta qualsiasi dato di qualsiasi utente.

Cloudflare precisò che le chiavi private SSL/TLS dei clienti non erano state esposte da quel processo. Il rapporto distingue queste chiavi da una chiave interna usata fra macchine Cloudflare. «Chiavi private di sessione» mescolava oggetti diversi.

HTTPS non risolve una fuga nell'endpoint

HTTPS protegge un collegamento, ma il proxy che termina quel collegamento deve elaborare i dati applicativi. Se quel processo perde memoria nelle risposte, la protezione del trasporto non annulla il bug.

La risposta richiese correzione, ricerca dei dati finiti nelle cache e valutazione dell'esposizione. Non tutti i siti dietro Cloudflare avevano lo stesso rischio. Analisi successiva dell'impatto. Le decisioni su revoca di sessioni e rotazione dei segreti devono basarsi sull'incidente e sui dati esposti, non su una promessa di compromissione universale.