클라우드플레어(Cloudflare)의 컨테이너 서비스에서 한 고객이 이전 고객의 데이터를 읽을 수 있는 취약점이 발견됐습니다. 컨테이너가 삭제된 뒤 그 저장 공간을 새 고객에게 재배정할 때 기존 데이터를 지우는 기능이 꺼져 있어 이전 데이터가 남아 있었던 것이 원인입니다. 실제 공격자가 특정 고객의 데이터를 골라 훔치는 것은 어려웠지만, 폴더 구조·데이터베이스 페이지·환경설정 파일·인증정보 파일 등이 노출될 수 있었습니다. 클라우드플레어는 9월 19일 전체 서버에 대한 수정과 정리를 완료했으며, 고객이 별도로 조치할 사항은 없습니다. 다만 취약한 설정이 언제부터 적용됐는지는 밝혀지지 않아 과거 노출 기간은 확인되지 않습니다.
클라우드플레어 컨테이너 및 샌드박스 서비스에서 삭제된 컨테이너의 디스크 공간을 재사용할 때 이전 데이터를 삭제하지 않는 취약점이 발견됐다. 보안업체 어컴플리시(Accomplice)의 오렌 욤토프 연구원이 9월 4일 신고했다.
새로 배정된 저장 공간에서 이전 고객의 폴더 구조, 데이터베이스 페이지, 환경설정 파일, 인증정보 파일 등을 읽을 수 있었다. 실제 테스트 24회 중 18회에서 잔존 데이터가 확인됐으며, 고객 간 데이터 격리(테넌트 격리)가 깨진 사례다.
컨테이너 삭제 후 디스크 공간(64KB 단위)을 재배정할 때 기존 내용을 덮어쓰는(zeroing) 기능이 비활성화돼 있었다.
클라우드플레어는 재배정 시 기존 데이터를 삭제하도록 설정을 변경하고, 기존 설정으로 생성된 실행 중 디스크 및 이미지 캐시까지 모두 정리했다. 9월 14일 재현 불가 확인, 9월 19일 전체 정리 완료, 9월 24일 공개.
고객이 별도로 변경할 설정은 없으나, 취약한 설정이 언제부터 적용됐는지 공개되지 않아 과거 노출 가능 기간은 불명확하다. 클라우드플레어 컨테이너·샌드박스 서비스를 이용한 고객은 저장했던 인증정보나 환경설정 파일의 교체를 검토할 필요가 있다.
본문
클라우드플레어의 컨테이너 서비스에서 한 고객이 같은 서버를 먼저 사용한 다른 고객의 데이터를 읽을 수 있는 취약점이 발견됐다.
현재 실행 중인 서비스에 침입한 것이 아니라, 삭제된 컨테이너의 디스크 공간을 재사용하면서 이전 데이터 일부가 남는 문제다. 클라우드플레어는 9월 24일 이를 공개하고 전체 서버에 대한 수정과 정리를 마쳤다고 밝혔다.
취약점을 발견한 보안업체 어컴플리시(Accomplice)의 오렌 욤토프 연구원은 9월 4일 클라우드플레어에 신고했다. 영향을 받은 서비스는 고객의 프로그램을 실행하는 '클라우드플레어 컨테이너(Cloudflare Containers)'와 이를 기반으로 외부 코드를 격리 실행하는 '클라우드플레어 샌드박스(Cloudflare Sandbox)'다.
연구진은 '브라우저 런(Browser Rendering)'도 같은 디스크 구성을 사용해 영향을 받았다고 설명했으나, 클라우드플레어는 공식 발표에서 이 제품을 별도로 언급하지 않았다.
원인은 재사용하는 저장 공간을 새 고객에게 배정하기 전에 지우는 기능이 꺼져 있었던 것이다. 서버는 디스크 공간을 64킬로바이트씩 나눠 관리한다. 연구진이 새로 배정된 공간에 4킬로바이트만 기록하고 전체 공간을 읽자, 나머지 부분에서 이전 컨테이너의 데이터가 확인됐다. 복구된 자료에는 폴더 구조와 데이터베이스 페이지 등이 포함됐다. 연구진은 환경설정 파일과 인증정보 파일 형태의 자료도 발견했다고 밝혔다.
연구진은 실제 운영 환경에서 시험한 24회 중 18회에 남은 데이터를 확인했다. 이는 24개 고객 계정의 정보가 유출됐다는 뜻은 아니다. 공격자가 서버나 피해 고객을 지정할 수도 없었다. 다만 다른 고객에게 배정됐던 저장 공간의 내용을 읽을 수 있었다는 점에서 고객 간 데이터 격리(테넌트 아이솔레이션)가 깨진 사례다.
클라우드플레어는 저장 공간을 새로 배정할 때 기존 내용을 지우도록 설정을 바꾸고, 이전 설정으로 만들어진 실행 중 디스크와 서버의 이미지 캐시까지 정리했다.
연구진은 9월 14일 공격 재현이 더는 작동하지 않는다고 확인했으며, 전체 정리는 9월 19일 끝났다. 클라우드플레어는 보유한 디스크 활동 기록에서 연구진과 자사 직원의 검증 외에 같은 수법을 사용한 흔적을 찾지 못했다고 밝혔다. 고객이 별도로 변경할 설정은 없다. 다만 취약한 설정이 언제부터 적용됐는지는 공개되지 않아 과거 노출 가능 기간은 알 수 없다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
