A Cloudflare corrigiu uma vulnerabilidade nos serviços Containers e Sandboxes que permitia a clientes com conta Workers Paid recuperar dados residuais de contêineres de outros clientes no mesmo host físico. O Cloudflare Containers é um serviço disponível no plano Workers Paid que permite a desenvolvedores executar aplicações em contêineres na infraestrutura da Cloudflare, ao lado do Cloudflare Workers. Desenvolvedores e empresas que constroem aplicações na plataforma costumam usá-lo, incluindo aqueles que executam serviços de backend, processamento de tarefas e ambientes de execução de código.
Falha estava em pool de armazenamento compartilhado sem zeragem
A falha foi reportada via HackerOne em 4 de setembro por Oren Yomtov, pesquisador de segurança da empresa de tecnologia Accomplish. Explorá-la permitiria a um atacante ler arquivos de outros clientes, incluindo listagens de diretórios, bancos de dados SQLite, perfis do Chromium, arquivos .env e arquivos de credenciais. Segundo a divulgação da Cloudflare, o problema estava em um pool de armazenamento compartilhado configurado para pular a zeragem de blocos de 64 KiB reutilizados. “Quando o volume fino que sustentava o disco raiz de um contêiner era excluído, seus blocos físicos eram devolvidos a um pool que servia cargas de trabalho pertencentes a várias contas de clientes”, explica a Cloudflare. Ao escrever apenas 4 KiB em uma região não utilizada do disco de um novo contêiner, os pesquisadores conseguiam fazer com que um bloco físico de 64 KiB reutilizado fosse alocado. Sem a operação de zeragem, apenas os 4 KiB gravados sobrescreveriam o bloco, deixando em estado legível os 60 KiB restantes, que podem conter dados de um cliente anterior.
Dados residuais encontrados em maioria dos testes
Os pesquisadores encontraram material residual em 18 de 24 posicionamentos de contêineres e em 20 de 22 nós subjacentes testados, incluindo estruturas de diretórios, páginas de banco de dados e bancos SQLite estruturalmente completos. “A vulnerabilidade poderia potencialmente ter permitido a um cliente com conta Workers Paid recuperar dados residuais de blocos de armazenamento usados anteriormente por contêineres de outros clientes no mesmo host subjacente”, afirma a Cloudflare. “Uma exploração bem-sucedida teria cruzado a fronteira de isolamento entre locatários e poderia divulgar metadados do sistema de arquivos, estruturas de diretórios, páginas de banco de dados e dados de aplicações.” Um atacante não teria controle sobre a vítima ou o host, nem conseguiria ler um disco ativamente conectado.
Avaliação de risco e exposição real
A Cloudflare afirma que os pesquisadores usaram apenas scripts que realizavam verificações e retornavam contagens agregadas, não conteúdos reais de disco, de modo que nenhum dado real de cliente foi exposto nessa avaliação. Os pesquisadores também não demonstraram qualquer maneira de alterar dados de outro cliente ou interromper suas cargas de trabalho no serviço da Cloudflare. A empresa removeu a configuração que causava a zeragem pulada de blocos, desativou os discos de contêineres existentes e limpou snapshots em cache que poderiam conter mapeamentos antigos, concluindo todas as ações de mitigação em 19 de setembro de 2026. Após examinar logs, telemetria e dados históricos, a empresa não encontrou evidências de que dados de clientes tenham sido expostos pelo método descrito pela Accomplish. A Cloudflare aplicou as correções em sua infraestrutura automaticamente, e os clientes não precisam tomar nenhuma medida para lidar com o risco.
