LONDON / LONDON (IT BOLTWISE) – Cloudflare hat eine Schwachstelle in Containers geschlossen, die es einem Kunden ermöglichte, Restdaten aus dem Disk-Speicher eines zuvor gelöschten Containers auszulesen. Die Daten stammten nicht aus aktiven Workloads, sondern aus wiederverwendeten 64-Kilobyte-Blöcken, bei denen das Zuweisen ohne vollständiges Wipen erfolgte. Cloudflare stoppt die Methode durch sofortiges Zurückschalten des Wipings und räumt zusätzlich laufende Container-Disks sowie vorbereitete Image-Layer-Caches auf. Die betroffene Variante umfasst auch Cloudflare Sandboxes, das untrusted Code ausführt, inklusive KI-Agenten-Code.
Cloudflare hat eine konkrete Sicherheitslücke in seinem Container-Angebot behoben, bei der laut den betroffenen Angaben Kunden theoretisch auf Datenspuren anderer Kunden stoßen konnten. Der Kern des Problems lag nicht in einem aktiven Zugriff auf laufende Workloads, sondern in der Art, wie gemeinsam genutzter Plattenspeicher für Container auf Servern vorbereitet und anschließend wiederverwendet wird. Das Unternehmen betont, dass ein Angreifer nicht gezielt auswählen konnte, wessen Daten ausgelesen werden; möglich war zunächst nur das Wiederfinden von Restmaterial, das zufällig in wiederverwendeten Blöcken verblieben war.
Technisch beschreibt die Schwachstelle einen Effekt, der in der Cloud-Praxis als Datenremanenz bekannt ist: Blöcke, die ein Container zuvor genutzt hatte, wurden in einen Pool zurückgegeben, der über mehrere Kundenaccounts hinweg verwendet wird. Für jeden Container wird dabei ein Disk-Image über ein Linux-Mechanismus namens thin provisioning aufgebaut, bei dem Speicher in 64-Kilobyte-Blöcken alloziert wird. Beim Löschen eines Containers sollten die Blöcke üblicherweise bereinigt werden; laut Beschreibung war die Pool-Einstellung jedoch so gesetzt, dass ein Wipen vor dem Zuweisen an den nächsten Container übersprungen wurde. So reichte schon eine Schreiboperation, die nur einen kleinen Teil eines zuvor bewohnten Blocks betrifft, um den Rest des Blocks mit den alten Bytes wiederherzustellen.
Für den Nachweis nutzten die Forschenden eine Methode, die weniger „Magie“ als gezielte Block-Granularität ist: Sie schrieben einen kleinen Block von 4 Kilobyte in einen Bereich, der zuvor als ungenutzt galt, und lasen anschließend den gesamten 64-Kilobyte-Block auf Rohdatenniveau aus. Die nicht überschriebenen 60 Kilobyte enthielten dabei strukturiertes Restmaterial. In Produktionstests fanden die Forschenden laut den Angaben in 18 von 24 Versuchen noch nachvollziehbare Daten, verteilt auf Server, die Cloudflare selbst auswählte, sowie in 20 von 22 zugrunde liegenden Maschinen in vier Regionen. Cloudflare führte diese Einsicht als Hinweise darauf, dass es sich tatsächlich um wiederverwendete Disk-Strukturen handelte, und nennt als Beispiele Verzeichnisstrukturen, Datenbankseiten und auch strukturell vollständige SQLite-Datenbanken.
Im Ergebnisbericht wird deutlich, wie breit die möglichen Artefakte in so einem Szenario sein können, obwohl das eigentliche Angriffsmuster zunächst auf Rohblock-Lesezugriff beruht. Die Forschenden beschrieben Restartefakte wie Verzeichnislisten, SQLite-Datenbanken, Profile aus Chromium-ähnlichen Browser-Kontexten sowie Konfigurations- und Credential-nahe Dateien, darunter typische.env-Dateien und weitere Dateitypen, die sie als sonstige Kundendaten charakterisierten. Gleichzeitig sagen sie, dass ihre Analyse nur Zähl- und Formatprüfungen automatisiert habe und dass das Material, das sie Cloudflare übermittelten, keine Drittanbieter-Namen, keine eindeutigen Identifikatoren, keine Kredentialwerte und keine sonstigen Inhalte enthalten habe, die über das reine Nachweisziel hinausgingen. Cloudflare wiederum erklärt, die übergebenen Daten seien nach der Einreichung privat gehalten und anschließend sicher gelöscht worden.
Wichtig für die Einordnung: Die Forschenden zeigen nicht, dass diese Schwachstelle live die Daten eines anderen Kunden verändern oder die Ausführung anderer Workloads unmittelbar stören konnte. Anders gesagt, es ging um das Auslesen von zuvor zurückgelassenem Speicher, nicht um das „Umschalten“ auf eine andere laufende Sitzung. Damit bleibt der Schaden in der Grundannahme vor allem auf das Risiko der Vertraulichkeitsverletzung begrenzt, während Integrität und Verfügbarkeit nicht demonstriert wurden. Dennoch ist die konkrete Kombination aus gemeinsamem Plattenspeicher, Thin-Provisioning und einem übersprungenen Wiping-Schritt sicherheitstechnisch heikel, weil sie aus Sicht der Angriffsoberfläche oft wie ein klassisches „Copy-on-write ohne Bereinigung“ wirken kann.
Cloudflare hat die Behebung deshalb zweigleisig umgesetzt. Zuerst schaltete das Unternehmen das Wiping für neu übergebene Blöcke wieder ein, wodurch die von den Forschenden verwendete Proof-of-Concept-Methode nach ihren Bestätigungen ab dem 14. September nicht mehr funktionierte. Diese Änderung reichte jedoch nicht aus, weil bereits zugeordnete Container-Disks und auch die Cachebereiche vorbereiteter Image-Layer weiterhin die unsichere Zuweisungseinstellung enthalten konnten. Deshalb räumte Cloudflare laufende Container-Disks ab, leerte und startete die betroffenen Server in Ruhezeiten neu und zog damit auch bereits vorbereitete Layer-States aus dem Verkehr. Die Bereinigung sei am 19. September abgeschlossen worden, die Offenlegung erfolgte fünf Tage später.
Um den möglichen Missbrauch zu bewerten, stellte Cloudflare zusätzlich Detektionsmechanismen zusammen. Das Unternehmen soll Signaturen aus dem Proof-of-Concept und aus einer eigenen Nachbildung des Angriffs erstellt und gegen die bei ihm vorhandenen Disk-Aktivitätsaufzeichnungen laufen lassen. Laut Darstellung fanden sich ausschließlich die autorisierten Testaktivitäten der Forschenden und der eigenen Ingenieurteams; es gebe keine Hinweise, dass genau dieses Muster von anderen Akteuren genutzt worden sei. Wie lange die unsichere Block-Einstellung aktiv war, bleibt dabei offen, weil Cloudflare keine zeitlichen Fenster zu Beginn und Dauer nennt. Für Betreiber von KI- und Code-Workloads bedeutet das: Selbst wenn ein Anbieter versichert, dass keine live Workloads betroffen seien, bleibt die technische Konsequenz klar – Speicherbereinigung und Lifecycle-Semantik sind bei Multi-Tenant-Umgebungen nicht optional.
Auch für das Marktbild ist die Meldung relevant, weil sie zeigt, wie schnell „Sandbox“ und „Container“-Dienste in der Praxis zusammenlaufen. Cloudflare ordnet die Schwachstelle nicht nur Containern zu, sondern sagt, dass auch Cloudflare Sandboxes betroffen war, also jenem Sicherheitskontext für untrusted Code, der explizit auch KI-Agenten-Code einschließen soll. Ergänzend berichten die Forschenden, dass dieselbe Disk-Setup-Grundlage auch Cloudflare Browser Run betroffen habe; im vorliegenden Bericht wird das aber von Cloudflare nicht weiter ausgeführt. In einer Landschaft, in der immer mehr Unternehmen Code automatisch generieren und ausführen lassen, verschieben solche Vorfälle den Fokus von reinem „Sandbox Escape“-denken hin zu einer robusteren Absicherung der Storage-Schicht, inklusive Thin-Provisioning, Cache-Lebenszyklen und standardisiertem Wiping über alle Pfade hinweg.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cloudflare schließt Datensicherheitslücke in Containers: Disk-Daten konnten ausgelesen werden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cloudflare schließt Datensicherheitslücke in Containers: Disk-Daten konnten ausgelesen werden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cloudflare schließt Datensicherheitslücke in Containers: Disk-Daten konnten ausgelesen werden« bei Google Deutschland suchen, bei Bing oder Google News!