🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de um ataque remoto Spectre contra Cloudflare Workers que vazou um JSON Web Token (JWT) de um Worker co-localizado no ambiente de produção a até 12 bits por segundo, 360 vezes a taxa de um ataque anterior demonstrado em 2021.
O experimento ponta a ponta utilizou um Worker atacante e um Worker vítima controlados pelos pesquisadores, com o JWT colocado intencionalmente na memória da vítima. O artigo de pesquisa afirmou que nenhum dado do cliente foi acessado.
A Cloudflare disse que o ataque já foi mitigado na produção depois de melhorar o Dynamic Process Isolation (DyPrIs), integrar o V8 Sandbox e implantar o isolamento no processo baseado em Memory Protection Keys (MPK), acrescentando que não encontrou indicadores de exploração ativa nos últimos três anos.
"Demonstramos que a implementação da produção de DyPrIs foi insuficiente", disseram os pesquisadores no artigo.
O Cloudflare Workers executa código de vários locatários em isolados V8 separados dentro do mesmo processo do sistema operacional, contando com o isolamento no nível da linguagem em vez do isolamento estrito do processo para reduzir a latência de inicialização.
Uma leitura de memória em um processo Worker compartilhado pode levar ao vazamento entre locatários, de acordo com a Cloudflare. O ataque exige que os Workers do atacante e da vítima sejam co-localizados em isolados V8 separados dentro do mesmo processo de Worker.
O invasor controla o código válido isoladamente. A execução de código nativo está fora do modelo de ameaça e o ataque não depende de uma exploração de software V8 ou de uma fuga de sandbox.
Cloudflare disse que os Workers restringem as fontes de tempo locais congelando ou aumentando os temporizadores durante a execução da CPU e não expõem a memória compartilhada ou multithreading aos scripts do Worker.
Os pesquisadores descobriram que as comunicações WebSocket poderiam fornecer uma fonte de temporização remota, enquanto os Objetos Duráveis poderiam manter um único Worker isolado ativo por cinco a mais de 20 horas.
O DyPrIs isola scripts suspeitos em um processo separado após o término de uma invocação, e os pesquisadores descobriram que uma invocação de Objeto Durável de longa duração poderia continuar em execução antes que o isolamento ocorresse.
Os pesquisadores também descobriram que a atividade pesada de entrada/saída (E/S) do WebSocket aumentou a atividade do buffer lookaside de tradução de instruções (iTLB), reduzindo o sinal normalizado de previsão incorreta de ramificação usado por DyPrIs abaixo de seu limite de detecção.
A Cloudflare descreveu o problema como uma limitação na implementação do DyPrIs, enquanto o artigo afirmava que os dois pontos fracos refletiam limitações fundamentais da abordagem de detecção, em vez de descuidos na implementação. Os pesquisadores disseram que a detecção robusta deve ocorrer durante a execução e usar um sinal que não possa ser suprimido pela atividade de E/S.
O jornal afirma que os testes de produção foram realizados em servidores Linux usando processadores AMD EPYC Zen 2 e Zen 3, com os pesquisadores executando medições intencionalmente à noite, quando a utilização da CPU estava entre 10% e 25%, para observar os melhores resultados possíveis.
Os pesquisadores disseram que uma carga maior do sistema reduziu a taxa de vazamento, embora ataques mais lentos permanecessem viáveis sob carga elevada.
O artigo relatou vazamento de até 12 bits por segundo com precisão de 99,16%, em comparação com 2 bits por minuto no ataque anterior.
A divulgação ocorre quase cinco anos depois que a Cloudflare e a TU Graz publicaram uma pesquisa demonstrando um ataque remoto do Spectre contra trabalhadores a 120 bits por hora e introduzindo DyPrIs como defesa.
O artigo anterior relatou uma taxa de falsos positivos de 0,61% e concluiu que os DyPrIs forneciam estatisticamente as mesmas garantias de segurança que o isolamento estrito do processo contra os ataques Spectre avaliados na época.
A Cloudflare publicou medidas adicionais de fortalecimento dos trabalhadores em setembro de 2025. As mitigações implantadas pela Cloudflare estão listadas abaixo:
DyPrIs aprimorados melhoram os recursos de detecção do mecanismo de isolamento existente.
O Sandbox V8 limita o acesso transitório a ponteiros de 64 bits.
O isolamento em processo baseado em MPK coloca pilhas de trabalhadores atrás de chaves de proteção impostas por hardware. Cloudflare disse que os sistemas x64 modernos deixam cerca de 12 chaves disponíveis para essa finalidade, e seu design combina as chaves com o V8 Sandbox e um layout de memória rotativa para evitar que sandboxes próximas compartilhem uma chave.
A descrição de setembro de 2025 da Cloudflare dizia que a atribuição aleatória de MPK por si só capturaria cerca de 92% dos acessos isolados cruzados porque dois isolados podem receber a mesma chave, e que o layout rotativo mais rigoroso é usado para remover essa lacuna para o modelo de ameaça coberto na sandbox.
O experimento ponta a ponta utilizou um Worker atacante e um Worker vítima controlados pelos pesquisadores, com o JWT colocado intencionalmente na memória da vítima. O artigo de pesquisa afirmou que nenhum dado do cliente foi acessado.
A Cloudflare disse que o ataque já foi mitigado na produção depois de melhorar o Dynamic Process Isolation (DyPrIs), integrar o V8 Sandbox e implantar o isolamento no processo baseado em Memory Protection Keys (MPK), acrescentando que não encontrou indicadores de exploração ativa nos últimos três anos.
"Demonstramos que a implementação da produção de DyPrIs foi insuficiente", disseram os pesquisadores no artigo.
O Cloudflare Workers executa código de vários locatários em isolados V8 separados dentro do mesmo processo do sistema operacional, contando com o isolamento no nível da linguagem em vez do isolamento estrito do processo para reduzir a latência de inicialização.
Uma leitura de memória em um processo Worker compartilhado pode levar ao vazamento entre locatários, de acordo com a Cloudflare. O ataque exige que os Workers do atacante e da vítima sejam co-localizados em isolados V8 separados dentro do mesmo processo de Worker.
O invasor controla o código válido isoladamente. A execução de código nativo está fora do modelo de ameaça e o ataque não depende de uma exploração de software V8 ou de uma fuga de sandbox.
Cloudflare disse que os Workers restringem as fontes de tempo locais congelando ou aumentando os temporizadores durante a execução da CPU e não expõem a memória compartilhada ou multithreading aos scripts do Worker.
Os pesquisadores descobriram que as comunicações WebSocket poderiam fornecer uma fonte de temporização remota, enquanto os Objetos Duráveis poderiam manter um único Worker isolado ativo por cinco a mais de 20 horas.
O DyPrIs isola scripts suspeitos em um processo separado após o término de uma invocação, e os pesquisadores descobriram que uma invocação de Objeto Durável de longa duração poderia continuar em execução antes que o isolamento ocorresse.
Os pesquisadores também descobriram que a atividade pesada de entrada/saída (E/S) do WebSocket aumentou a atividade do buffer lookaside de tradução de instruções (iTLB), reduzindo o sinal normalizado de previsão incorreta de ramificação usado por DyPrIs abaixo de seu limite de detecção.
A Cloudflare descreveu o problema como uma limitação na implementação do DyPrIs, enquanto o artigo afirmava que os dois pontos fracos refletiam limitações fundamentais da abordagem de detecção, em vez de descuidos na implementação. Os pesquisadores disseram que a detecção robusta deve ocorrer durante a execução e usar um sinal que não possa ser suprimido pela atividade de E/S.
O jornal afirma que os testes de produção foram realizados em servidores Linux usando processadores AMD EPYC Zen 2 e Zen 3, com os pesquisadores executando medições intencionalmente à noite, quando a utilização da CPU estava entre 10% e 25%, para observar os melhores resultados possíveis.
Os pesquisadores disseram que uma carga maior do sistema reduziu a taxa de vazamento, embora ataques mais lentos permanecessem viáveis sob carga elevada.
O artigo relatou vazamento de até 12 bits por segundo com precisão de 99,16%, em comparação com 2 bits por minuto no ataque anterior.
A divulgação ocorre quase cinco anos depois que a Cloudflare e a TU Graz publicaram uma pesquisa demonstrando um ataque remoto do Spectre contra trabalhadores a 120 bits por hora e introduzindo DyPrIs como defesa.
O artigo anterior relatou uma taxa de falsos positivos de 0,61% e concluiu que os DyPrIs forneciam estatisticamente as mesmas garantias de segurança que o isolamento estrito do processo contra os ataques Spectre avaliados na época.
A Cloudflare publicou medidas adicionais de fortalecimento dos trabalhadores em setembro de 2025. As mitigações implantadas pela Cloudflare estão listadas abaixo:
DyPrIs aprimorados melhoram os recursos de detecção do mecanismo de isolamento existente.
O Sandbox V8 limita o acesso transitório a ponteiros de 64 bits.
O isolamento em processo baseado em MPK coloca pilhas de trabalhadores atrás de chaves de proteção impostas por hardware. Cloudflare disse que os sistemas x64 modernos deixam cerca de 12 chaves disponíveis para essa finalidade, e seu design combina as chaves com o V8 Sandbox e um layout de memória rotativa para evitar que sandboxes próximas compartilhem uma chave.
A descrição de setembro de 2025 da Cloudflare dizia que a atribuição aleatória de MPK por si só capturaria cerca de 92% dos acessos isolados cruzados porque dois isolados podem receber a mesma chave, e que o layout rotativo mais rigoroso é usado para remover essa lacuna para o modelo de ameaça coberto na sandbox.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #ataque #spectre #de #trabalhadores #da #cloudflare #vaza #jwt #de #trabalhador #colocalizado #a #12 #bits/segundo
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário