Cloudflare chiude falla cross-tenant nei Containers: dati residui esposti

Cloudflare ha scoperto e corretto una vulnerabilità nei suoi servizi Containers e Sandboxes che permetteva a certi clienti di accedere a informazioni lasciate indietro da altri utenti. Il difetto era di tipo cross-tenant, il che significa che riusciva a bucare quella barriera che dovrebbe tenere separati gli ambienti di persone diverse che condividono la stessa infrastruttura fisica. Non si trattava di un accesso diretto ai container altrui in esecuzione, ma della possibilità di recuperare dati residui — informazioni cioè che restano presenti nelle risorse di un sistema anche dopo che il processo che le aveva generate ha smesso di usarle.

Per capire perché questo genere di problema preoccupa tanto chi lavora nel cloud, bisogna partire da come funzionano questi servizi. Un fornitore come Cloudflare non assegna una macchina dedicata a ogni singolo cliente. Sullo stesso server, quello che tecnicamente si chiama host fisico, girano i carichi di lavoro di più utenti contemporaneamente. È un modello che rende il servizio efficiente e accessibile, ma regge su una promessa fondamentale: ciascuno deve restare chiuso nel proprio spazio, senza poter vedere cosa fanno gli altri. I container nascono proprio con questa logica — sono ambienti isolati in cui far girare applicazioni e codice, separati tra loro pur poggiando sullo stesso hardware. Le sandbox seguono un principio molto simile, visto che il loro scopo è eseguire operazioni in uno spazio circoscritto e protetto.

Il cuore del problema sta tutto in quella espressione: dati residui. Se quelle risorse passano a un altro utente senza essere ripulite a dovere, il nuovo arrivato potrebbe trovarsi davanti tracce di ciò che c'era prima. Ed è proprio questo lo scenario che la falla nei servizi Containers e Sandboxes rendeva possibile tra clienti diversi ospitati sulla medesima macchina. C'è però un dettaglio che delimita il perimetro della vicenda. Per sfruttare il difetto serviva un account Workers Paid, ovvero la formula a pagamento della piattaforma Workers dell'azienda. Non bastava quindi un accesso qualsiasi; occorreva essere clienti paganti con la possibilità di avviare container sull'infrastruttura. A questo si aggiungeva la condizione della coabitazione, perché il recupero delle informazioni funzionava solo nei confronti di altri utenti i cui container si trovavano sullo stesso host fisico. Due requisiti che restringono il campo, pur senza cancellare la gravità di una situazione in cui l'isolamento tra clienti mostrava una crepa.

Proprio per questo il tema della separazione degli ambienti è così delicato nel mondo dei servizi condivisi. Chi sceglie una piattaforma di questo genere si affida all'idea che il proprio spazio resti privato anche quando il server è lo stesso di altri sconosciuti. Una falla che permette di raccogliere dati residui altrui tocca esattamente quel patto di fiducia su cui poggia l'intero modello. Cloudflare ha comunque risolto la vulnerabilità presente in Containers e Sandboxes, chiudendo la strada che consentiva ai clienti Workers Paid di recuperare informazioni appartenenti ad altri utenti sulla stessa macchina.