Cloudflare fixes Containers cross-tenant flaw exposing customer data
BleepingComputer · 27 sept, 16:13
Cloudflare ha corregido una vulnerabilidad en Containers y Sandboxes que permitía a clientes con cuenta Workers Paid recuperar datos residuales de otros clientes en el mismo host físico. El fallo residía en un pool de almacenamiento compartido que no borraba bloques de 64 KiB reutilizados, permitiendo leer archivos, bases de datos SQLite, perfiles de Chromium y archivos de credenciales de otros inquilinos. La empresa no encontró evidencia de exposición real de datos de clientes y ha completado todas las mitigaciones automáticamente.
El investigador de seguridad Oren Yomtov de Accomplish reportó la vulnerabilidad a través de HackerOne el 4 de septiembre de 2026. La falla se encontraba en la configuración del almacenamiento compartido que saltaba la operación de borrado de bloques físicos reutilizados. Cuando se eliminaba el volumen fino que respaldaba el disco raíz de un contenedor, sus bloques físicos se devolvían a un pool que servía cargas de trabajo de múltiples cuentas de clientes.
Los investigadores demostraron que escribiendo solo 4 KiB en una región sin usar del disco de un nuevo contenedor, podían causar que se asignara un bloque físico de 64 KiB reutilizado, dejando legibles los 60 KiB restantes con datos potenciales de clientes anteriores. En las pruebas encontraron material residual en 18 de 24 ubicaciones de contenedor y en 20 de 22 nodos subyacentes. Cloudflare eliminó la configuración problemática, retiró los discos de contenedor existentes y limpió snapshots en caché antes del 19 de septiembre de 2026. Tras examinar logs, telemetría y datos históricos, no encontró evidencia de exposición real de datos de clientes.
Puntos clave
- Vulnerabilidad de aislamiento de inquilinos en Cloudflare Containers y Sandboxes
- Bloques de 64 KiB sin borrar permitían leer datos de clientes anteriores
- Se encontraron datos residuales en 75% de ubicaciones y 91% de nodos probados
- Mitigación completada automáticamente; clientes no necesitan tomar acción
- No se confirmó exposición real de datos de clientes