Cloudflare corrige una vulnerabilidad entre inquilinos en Containers que exponía datos de clientes

Cloudflare ha corregido una vulnerabilidad en Containers y Sandboxes que permitía a clientes con una cuenta Workers Paid recuperar datos residuales de contenedores de otros clientes alojados en el mismo host físico.

Cloudflare Containers es un servicio disponible en el plan Workers Paid que permite a los desarrolladores ejecutar aplicaciones en contenedores sobre la infraestructura de Cloudflare, junto con Cloudflare Workers. Es utilizado habitualmente por desarrolladores y empresas que construyen aplicaciones en Cloudflare, incluidos servicios backend, procesamiento de trabajos y entornos de ejecución de código.

El fallo fue reportado a través de HackerOne el 4 de septiembre por Oren Yomtov, investigador de seguridad de la empresa tecnológica Accomplish. Su explotación habría permitido a un atacante leer archivos de otros clientes, incluidos listados de directorios, bases de datos SQLite, perfiles de Chromium, archivos .env y archivos de credenciales.

Según la divulgación de Cloudflare, el problema residía en un pool de almacenamiento compartido configurado para omitir el zeroing de bloques de 64 KiB reutilizados.

Cuando se eliminaba el volumen thin que respaldaba el disco raíz de un contenedor, sus bloques físicos se devolvían a un pool que servía cargas de trabajo pertenecientes a múltiples cuentas de clientes.

Al escribir solo 4 KiB en una región no utilizada del disco de un nuevo contenedor, los investigadores podían provocar la asignación de un bloque físico reutilizado de 64 KiB. Sin la operación de zeroing, solo la escritura de 4 KiB sobrescribía el bloque, dejando legibles los 60 KiB restantes que podían contener datos de un cliente anterior.

Encontraron material residual en 18 de 24 ubicaciones de contenedores y en 20 de 22 nodos subyacentes probados, incluidas estructuras de directorios, páginas de bases de datos y bases de datos SQLite estructuralmente completas.

La vulnerabilidad podría haber permitido a un cliente con una cuenta Workers Paid recuperar datos residuales de bloques de almacenamiento utilizados previamente por contenedores de otros clientes en el mismo host subyacente. Una explotación exitosa habría cruzado el límite de aislamiento entre inquilinos y podría revelar metadatos del sistema de archivos, estructuras de directorios, páginas de bases de datos y datos de aplicaciones.

Un atacante no tendría control sobre la víctima ni sobre el host, ni podría leer un disco conectado activamente.

Evaluación de riesgo y exposición real

Cloudflare afirma que los investigadores solo utilizaron scripts que realizaban comprobaciones y devolvían recuentos agregados, no contenidos reales de discos, por lo que no se expusieron datos reales de clientes durante esta evaluación. Tampoco demostraron ninguna forma de modificar los datos de otro cliente ni de interrumpir sus cargas de trabajo en el servicio de Cloudflare.

Cloudflare eliminó la configuración que provocaba la omisión del zeroing de bloques, retiró los discos de contenedores existentes y borró las instantáneas en caché que podían contener asignaciones antiguas, completando todas las acciones de mitigación el 19 de septiembre de 2026. Tras examinar registros, telemetría y datos históricos, la compañía no encontró evidencia de que se expusieran datos de clientes mediante el método descrito por Accomplish. Cloudflare aplicó las correcciones a su infraestructura de forma automática, por lo que los clientes no necesitan tomar ninguna medida para abordar el riesgo.

Construya su blueprint de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deberían dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.