Un chercheur en cybersécurité a dévoilé deux vulnérabilités du service de distribution de contenus Cloudflare. En les exploitant, des pirates peuvent lancer des cyberattaques contre des sites Internet protégés par Cloudflare.

Vous connaissez peut-être le nom de Cloudflare sans trop savoir de quoi il s'agit. Cette entreprise de 2007 est à l'origine un réseau de distribution de contenus et de DNS. Elle s'est enrichie de tout un tas de services annexes comme la protection des sites Web qu'elle gère. En début d'année, Cloudflare a fait parler d'elle en devenant la cible de la plus grande attaque DDoS jamais vue. Ou plutôt les attaques collectives par saturation de service comme il faut les appeler.

Plus récemment, le chercheur en cybersécurité Stefan Proksch a découvert deux failles permettant aux pirates d'outrepasser la protection offerte par le service. Ironiquement, les hackers utilisent Cloudflare pour le faire. Il y a deux prérequis cependant : créer un compte gratuit et connaître l'adresse IP du serveur de la cible. Après cela, le pare-feu et la protection anti-attaque DDoS de Cloudflare sont quasi-ignorés.

En utilisant le service lui-même, des hackers font sauter la sécurité de Cloudflare

La première faille concerne le système s'assurant qu'une requête http ou https envoyée à un serveur provient de Cloudflare et non d'un pirate. Le propriétaire d'un site doit fournir un certificat pour activer la protection. Le problème est que tous les utilisateurs partagent un certificat commun. En l'utilisant, le hacker peut se faire passer pour le site qu'il vise, désactiver ses protections et lancer une attaque.

La deuxième faille est similaire. Elle exploite la liste des adresses IP autorisées par Cloudflare. Là aussi, il est possible de rediriger un domaine vers un autre créé par quelqu'un d'autre. Les protections sont ensuite levées et l'attaque part en passant par l’infrastructure de Cloudflare. Le chercheur a démontré à quel point il est facile d'utiliser ces deux failles et propose des mesures pour les corriger. Il a signalé ses trouvailles à l'entreprise en mars dernier, mais cela n'a pas été suivi d'effet. La firme n'a pas encore communiqué sur le sujet.

Source : Bleeping Computer