Allvarlig bugg upptäckt i Cloudflare – miljontals konton i farozonen

Permalänk
Melding Plague

Allvarlig bugg upptäckt i Cloudflare – miljontals konton i farozonen

En bugg i Cloudflares källkod har lett till att potentiellt miljontals användarkonton läckt ut på webben. Buggen beskrivs som en av de allvarligaste någonsin.

Läs hela artikeln här

Visa signatur

Observera att samma trivselregler gäller i kommentarstrådarna som i övriga forumet och att brott mot dessa kan leda till avstängning. Kontakta redaktionen om du vill uppmärksamma fel i artikeln eller framföra andra synpunkter.

Permalänk
Medlem

Bra ändå av dem att åtgärda såpass snabbt efter att buggen upptäcktes.

Tror ju inte jag är drabbad men har bytt mina lösenord för säkerhets skull.

Visa signatur

ozzed.net Min egenkomponerade 8-bit musik. Gillar du musiken från gamla klassiska NES eller Gameboy och liknande är det värt ett besök. :) Jag finns också på Spotify, Bandcamp, Jamendo, Youtube, och du kan även följa mig på Twitter och Facebook.
Vet du att du har fel? Signalera detta tydligt med Argumentationsfel och gärna Whataboutism.

Permalänk
Medlem

Tja går ju tyvärr inte göra något 100% säkert, får hoppas ingen drabbas av buggen nu.

Det värsta är att många kommer inte veta om felet eller inte bry sig. Konton och lösen kommer troligen ut på försäljning i alla fall

Visa signatur

Min spel rigg:FD Define R4|VX 550W|i5 2500K|Corsair LP 4GBX2|Mammabräda P67 Extreme4|GTX 670 windforce|23tum u2312hm
Min gamla/HTPC:AMD 6000+|Ram 2GbX2|Radeon HD5770| XFX 450/nu XFX 550
Mitt bygge: ByggloggFri frakt INET:Fraktfritt sweclockers vid köp över 500kr

#Gilla inlägg som är bra & Använd citera/@"namn" vid snabbt svar

Permalänk
Rekordmedlem

Kanske nått mediabolag eller trolladvokatbyrå som hackat dem eller som kommer att köpa uppgifterna om Piratebay var med i kontosamlingen.

Visa signatur

R5 5600G, Asus ROG STRIX X470-F Gaming, WD SN850X 2TB, Seasonic Focus+ Gold 650W, Aerocool Graphite v3, Tittar på en Acer ET430Kbmiippx 43" 4K. Lyssnar på Behringer DCX2496, Truth B3031A, Truth B2092A. Har också oscilloskop, mätmikrofon och colorimeter.

Permalänk
Medlem

Har unikt lösen på mailen, så allt går att återställa i fall att, inte oroad

Visa signatur

Ny dator: Acer Predator Orion 5000 (RTX 3080)
[ I7 3770K @ 4.6Ghz | Asus 980 Ti 6GB | 16GB | Asus P8Z77-V PRO | Samsung 830 128GB | Corsair H100 | Cooler Master HAF X | Corsair AX 850W | Samsung DVD±RW ] [ Sony AF9 65" | Sony WF-1000XM3 | HTC Vive | Huawei P40 Pro | PS4 Pro | PS3 Slim | PS2 chippad | PS Vita | DS Lite | SNES Mini ]

Permalänk
Medlem

Okey, dags för en översyn på lite konton då I guess. Hur många stora tjänster är anslutna till Cloudflare tro?

Visa signatur

Desktop: MSI MPG X570 GAMING PLUS, AMD Ryzen 9 5950X, Be Quiet Dark Rock Pro 4, 32GB G.Skill Trident Z RGB 3200,
ASUS ROG STRIX GeForce GTX 1080 8GB GAMING, Samsung 970 EVO Plus 500GB
Notebook: Macbook Pro 14" M1 Pro

Permalänk
Medlem
Skrivet av KTL:

Okey, dags för en översyn på lite konton då I guess. Hur många stora tjänster är anslutna till Cloudflare tro?

https://github.com/pirate/sites-using-cloudflare

Finns en full lista att ladda ner, samt så har de redan listat några notable sites.

EDIT:
Direkt länk till sidorna, kan ta en stund att ladda in. Chrome kan krascha.
https://raw.githubusercontent.com/pirate/sites-using-cloudfla...

Visa signatur

Gaming: MSI X570 MPG Gaming Plus -- AMD Ryzen 9 5900X -- Sapphire Radeon RX 6800 XT NITRO+ -- G.Skill 32GB 3600MHz CL14 -- Samsung 960 EVO 1TB -- 2x ASUS MG278Q -- Arch-based EndeavourOS
VR: ASRock B550M-ITX/ac -- AMD Ryzen 5 5600G -- ASUS RTX 3070 -- Corsair 16GB 3600MHz CL18 -- Kingston A2000 250GB -- Windows 10

Permalänk
Medlem

Rättelse: Reddit är inte drabbat. https://github.com/pirate/sites-using-cloudflare/pull/48
Personen som har hand om den listan kör med tankeställningen "better safe than sorry" vilket jag kan förstå.

Här är länken till Project Zero-loggen: https://bugs.chromium.org/p/project-zero/issues/detail?id=113...

Citat:

"The examples we're finding are so bad, I cancelled some weekend plans to go into the office on Sunday to help build some tools to cleanup. I've informed cloudflare what I'm working on. I'm finding private messages from major dating sites, full messages from a well-known chat service, online password manager data, frames from adult video sites, hotel bookings. We're talking full https requests, client IP addresses, full responses, cookies, passwords, keys, data, everything."

Illa illa.

Visa signatur
Permalänk
Medlem

Någon kommer få sparken.

Visa signatur

Min musik: https://www.youtube.com/channel/UCZKidNeIKsz8LZMO3VRcBdQ

Ryzen 3900x. Skärm: AOC cu34g2x/bk 144hz 34" ultrawide. RTX 2080ti

Laptop: MSI GT80 Titan Sli

Permalänk
Medlem

Dags att skaffa skydd:
https://www.eyeonid.com/

Tycker det läcker saker varje månad nu

Visa signatur

I changed my shape today.
Human, at the break of day.
Dropped my suit without a noise.
The sun gave me no choice.

Permalänk
Medlem

Fan också! Jag har snart använt alla möjliga lösenordskombinationer i och med alla läckor som varit.

Permalänk
Medlem
Skrivet av Ozzed:

Bra ändå av dem att åtgärda såpass snabbt efter att buggen upptäcktes.

Tror ju inte jag är drabbad men har bytt mina lösenord för säkerhets skull.

Yahoo drabbas. Noooobs. Ned med yahoo.
Cloudflare drabbas, meh

Skickades från m.sweclockers.com

Permalänk

Sjukt.. Verkligen dags att köra two-way-authenication på allt!

Visa signatur

Mitt kärnkraftverk
|Asus PRIME-B350-PLUS|PH-TC14PE_OR|Ryzen 5 1400@3890MHz|Vega 56@Vega64bios |Corsair 2x4GB 3200MHz|Corsair TX 650w Bronze|CM Storm Enforcer|AOC G2460PF / 24"144Hz FreeSync|

Permalänk

Fick detta tidigare idag:

Dear Fredrik,

Thursday afternoon, we published a blog post describing a memory leak caused by a serious bug that impacted Cloudflare's systems. If you haven't yet, I encourage you to read that post on the bug:

https://blog.cloudflare.com/incident-report-on-memory-leak-ca...

While we resolved the bug within hours of it being reported to us, there was an ongoing risk that some of our customers' sensitive information would still be available through third party caches, such as the Google search cache.

Over the last week, we've worked with these caches to discover what customers may have had sensitive information exposed and ensure that the caches are purged. We waited to disclose the bug publicly until after these caches could be cleared in order to mitigate the ability of malicious individuals to exploit any exposed data.

In our review of these third party caches, we discovered exposed data on approximately 150 of Cloudflare's customers across our Free, Pro, Business, and Enterprise plans. We have reached out to these customers directly to provide them with a copy of the data that was exposed, help them understand its impact, and help them mitigate that impact.

Your domain is not one of the domains where we have discovered exposed data in any third party caches. The bug has been patched so it is no longer leaking data. However, we continue to work with these caches to review their records and help them purge any exposed data we find. If we discover any data leaked about your domains during this search, we will reach out to you directly and provide you full details of what we have found.

To date, we have yet to find any instance of the bug being exploited, but we recommend if you are concerned that you invalidate and reissue any persistent secrets, such as long lived session identifiers, tokens or keys. Due to the nature of the bug, customer SSL keys were not exposed and do not need to be rotated.

Again, if we discover new information that impacts you, we will reach out to you directly. In the meantime, if you have any questions or concerns, please don’t hesitate to reach out.

Matthew Prince
Cloudflare, Inc.
Co-founder and CEO

Visa signatur

Out on the streets and ragin tonight
full blast adrenaline and ready to fight
everywhere we go the record fuckin skip
low life bastards and we don't give a shit

Permalänk

Kan inte hitta någon sida jag faktiskt har varit medlem på. I alla fall inte bland de vanligaste sidorna. Tror ändå att det är dags att ändra lite lösenord, för länge sedan sist.

Visa signatur

i5 8400 / Gigabyte B360N Wifi / GTX 1080 / CoolerMaster NR200P / EVGA SuperNova GM 650 / Corsair Vengance LPX 16 GB DDR4 @ 2666mhz / Sandisk A110 & OCZ Trion 150 / Noctua NH-L12S

Permalänk
Medlem

Gäller detta bara domäner som har det orange'a molnet?

EDIT;

Scrollade bland kommentarerna. PHEW.

Permalänk
Medlem
Skrivet av Kokefa:

https://github.com/pirate/sites-using-cloudflare

Finns en full lista att ladda ner, samt så har de redan listat några notable sites.

EDIT:
Direkt länk till sidorna, kan ta en stund att ladda in. Chrome kan krascha.
https://raw.githubusercontent.com/pirate/sites-using-cloudfla...

Kollade igenom mina konton och dessa var med i listan:

bundlestars
curse
humblebundle
projectzomboid/theindiestone
nexusmods
tunngle
wolfire

Sedan om alla dessa är drabbade eller inte är ju en annan sak, men bytte lösen för säkerhets skull. Var liksom dags ändå.

Visa signatur

Burk: 4770k, 970, 16GB, BenQ BL2411PT
Ljud: O2/ODAC, DT 150, Fidelio X1, DT 770, Sony XB1000/700/500, Koss Porta Pro
Gamla Bettan [RIP]: XP2500+ @ ~2.0Ghz • FIC Radeon 9600 Pro • Abit AN7 • 1GB OCZ

Permalänk
Medlem
Skrivet av Ytbehandlad:

Sjukt.. Verkligen dags att köra two-way-authenication på allt!

Authy var också drabbade

Permalänk
Medlem
Skrivet av m4gnify:

Authy var också drabbade

Ja hur hanterar man det?
Jag förstår inte hur man byter lösenord på authy. Är det möjligt?
Det är väl knutet till telefonen eller?

Permalänk
Medlem
Skrivet av Benedict:

Ja hur hanterar man det?
Jag förstår inte hur man byter lösenord på authy. Är det möjligt?
Det är väl knutet till telefonen eller?

Vet inte riktigt hur det fungerar, men Authy är ett konto som du kan använda på flera telefoner osv. Google Authenticator t.ex kan du säga adjö till ifall du måste byta telefon eller återställa, Authy har allt i molnet och återställs när du loggar in.

Permalänk
Medlem

Och återigen hoppas man på lagstiftning om att sajtägarna ska hållas ansvariga för hanteringen av lämnade uppgifter, så det helt enkelt innebär en juridisk risk att hålla på med den där fullkomligt onödiga lagringen av användarnas mailadresser. Det borde vara en självklarhet med opt out på det, personligen överger jag mer än gärna möjligheten till lösenordsåterställning via mailen för att slippa konsekvenserna av att min mailadress sprids med dumparna när sajterna förr eller senare ofelbart hackas.

Reggar mig sedan en massa år med en slaskmail som gärna får bli sönderspammad för min del, men det är ju jäkligt trist för de som använt sin seriösa mail, när de där dumpsen hamnar i diverse nigeriaspammares händer...

Visa signatur

Nu lurade jag dig att slösa bort ett par värdefulla sekunder av ditt liv på att läsa denna fullständigt poänglösa signatur!

Permalänk
Medlem
Skrivet av Benedict:

Ja hur hanterar man det?
Jag förstår inte hur man byter lösenord på authy. Är det möjligt?
Det är väl knutet till telefonen eller?

Om du inte redan har hittat det, så kan du ändra lösen genom att starta Authy och (på Android iaf) peka på de 3 punkterna i övre högra hörnet, sedan på Settings, efter det Accounts, så står det Change Password där.

Lösenordet används till att kryptera din säkerhetskopia ifa du har det påslaget.

Visa signatur

| R7 3800x | be quiet! Dark Rock 4 Pro | Gigabyte X570 Aorus Elite | Aorus RGB 2x8GB 3200mhz cl16 |
| Nvidia RTX 2060 Super | Kingston A2000 250GB + A2000 1TB + KC2500 2TB | Corsair RM750 | Fractal Design Meshify C |

Permalänk
Inaktiv

Funderar på hur ofta "onda hackers" ens är medvetna om buggar innan säkerhetsexperter på den "goda sidan" upptäcker dem? Jag tänker att hackers gärna flashar sina upptäcker på underground forum osv, alternativt försöker sälja upptäckta buggar och det på så sätt uppmärksammas. När det går i detta ledet tänker jag att chansen är liten att någon black hat hacker skulle ha upptäckt buggen innan?