Fastly Security Research Team

Unser neues WAF-Wirksamkeits-Framework bietet ein standardisiertes Verfahren zur Messung der Effektivität der Erkennungsfunktionen einer WAF durch kontinuierliche Überprüfung und Validierung. Wir erklären Ihnen, wie es funktioniert.

In diesem Blogpost teilen wir mit Ihnen unsere neuesten Daten und Erkenntnisse über die Log4j-/Log4Shell-Schwachstelle (CVE-2021-44228 + CVE-2021-45046), um die Entwickler-Community bei der Bewältigung dieses Problems zu unterstützen. Außerdem liefern wir Ihnen Hinweise, wie Sie Ihre Umgebung auf viele der neuen Verschleierungsmethoden testen können.

CVE-2021-44228 ist eine Sicherheitslücke bei der Remote-Codeausführung in der Apache Log4j-Bibliothek, die aktiv ausgenutzt wird.Wir stellen unsere Beobachtungen zu der Ausnutzung und eine Zusammenfassung ihrer Auswirkungen vor.

Unsere Serverless-Compute-Umgebung Compute kann zur Behebung von Problemen mit Angreifern eingesetzt werden, die versuchen, Ressourcen zu verändern und zu manipulieren. In diesem Blogpost erfahren Sie, wie.

Unser Security Research Team gibt Hilfestellung bei der Behebung von CVE-2021-40438, einer Schwachstelle in Apache HTTP Server Version 2.4.48 oder niedriger. Betroffene Versionen sollten gepatcht und eine neue Templated Rule zum Schutz vor Exploits aktiviert werden.

Die jüngste Sicherheitslücke im Apache HTTP Server (CVE-2021-41773) wird Berichten zufolge weitläufig ausgenutzt. Fastly erkennt diese Schwachstelle bereits, dennoch sollten unsere Next-Gen-WAF-Kunden eine Regel erstellen, um die Ausnutzung zu blockieren.

Unser Security Research Team hat eine Regel entwickelt und implementiert, die Kunden unserer Next-Gen WAF vor der kürzlich bekannt gegebenen Confluence OGNL Injection-Schwachstelle CVE-2021-26084 schützt.

Der im Cranelift x64-Backend identifizierte Fehler führt eine Vorzeichenerweiterung anstelle einer Nullerweiterung für einen vom Stack geladenen Wert durch, wenn der Register-Allokator einen ganzzahligen Wert-Spill mit weniger als 64 Bit neu lädt. Dies wirkt sich negativ auf eine andere Optimierung aus: Der Befehlsselektor lässt einen Zero-Extend-Operator mit 32 bis 64 Bit aus, wenn wir aber doch wissen, dass ein Befehl, der einen 32-Bit-Wert erzeugt, die oberen 32 Bit des Zielregisters tatsächlich auf Null setzt. Daher verlässt sich der x64-Compiler auf diese auf Null gesetzten Bits, aber der Wertetyp ist immer noch i32 und der Spill/Reload stellt diese Bits als Vorzeichenerweiterung des MSB von i32 wieder her.

Das Sicherheitsforschungsteam von Fastly hat eine Regel zum Schutz von Signal Sciences Next-Gen WAF Kunden vor den kürzlich bekannt gewordenen Microsoft Exchange Serverschwachstellen erstellt und implementiert.

Am 29. Juli um 00:00 Uhr UTC wurde Fastly von einem Kunden (Kunde X) gemeldet, dass eine einzelne Protokollzeile, die für einen anderen Kunden (Kunde Y) bestimmt war, im Protokollsystem des Kunden X gelandet war. Fastly begann sofort mit der Untersuchung und stellte fest, dass bei einem komplexen Zusammentreffen von Umständen eine Log-Zeile an einen verkehrten Logging-Service geleitet werden kann. Wir konnten die Ursache auf einen Fehler in der Programmlogik zurückführen, die von Fastly zur Verbesserung der Leistung im April 2012 eingeführt worden war. Dieser einmalige Bericht eines Kunden ist der einzige Fall in acht Jahren, der Fastly bekannt ist, in dem alle erforderlichen Umstände zur gleichen Zeit zusammen kamen.

Fastly wurde am 21. Mai 2020 um 13:30 Uhr UTC über das Problem informiert. Fastly hat daraufhin sofort eine Untersuchung eingeleitet und identifiziert, welche Origin-Server mit einer Testportnummer in der Redirect-Antwort antworteten, um nach der Schwachstelle und möglichen Lösungen zu suchen. Nach der Untersuchung benachrichtigte Fastly potenziell betroffene Kunden erstmals am 15. Juli 2020 um 04:30 Uhr UTC. Diese Schwachstelle ist eine Variante einer [bereits früher gemeldeten Schwachstelle](/security-advisories/cache-poisoning-leveraging-various-x-headers) und letztlich das Ergebnis der Zusammensetzung von cachefähigen Origin-Antworten auf der Basis von nutzerdefinierten Daten. Das Problem tritt auf, wenn ein Angreifer eine HTTPS-Anfrage stellt und im Host-Header eine Portnummer angibt, die eigentlich für keine Services verwendet wird. Es ist möglich, eine Ressource so zu cachen, dass zukünftige Requests nicht mehr korrekt bearbeitet werden können.

Am 11. November 2019 um 21:57 Uhr UTC hat Fastly einen neuen Build seiner HTTP/2-Terminierungssoftware auf zwei Fastly Cache-Servern im Rechenzentrum in Minneapolis-St.Paul (STP) bereitgestellt. Diese Build enthielt einen Verarbeitungsfehler, der die Wiederverwendung von Verbindungen zwischen internen Fastly Systemen betraf (unabhängig vom HTTP/2-Multiplexing) und dazu führte, dass einige eingehende HTTP/2-Anfragen für Services von Fastly Kunden eventuell fälschlicherweise an eine Gruppe von bis zu 20 verschiedenen Services und Origin-Servern von Fastly Kunden weitergeleitet wurden. Dies führte dazu, dass einige Client-Anfragedaten an verkehrte Origin-Server von Kunden gesendet und eine Antwort von diesen verkehrten Origin-Servern zurückgesendet wurde. Die Kunden, auf deren Origin-Servern diese Anfragen fälschlicherweise eingingen, haben diese verkehrt weitergeleiteten Anfragedaten möglicherweise geloggt. Fastly wurde erstmals am 12. November 2019 um 23:07 Uhr UTC von einem Kunden über einen Client-Fehler informiert. Am 13. November 2019, um 00:50 Uhr UTC, wurde der gesamte Kunden-Traffic des betroffenen Rechenzentrums umgeleitet. Fastly hat sofort eine Untersuchung eingeleitet und am 14. November 2019 um 00:31 Uhr UTC das Vorhandensein von falsch gerouteten Anfragedaten in den Logs eines Kunden bestätigt. Wir schätzen, dass dieser Fehler in dem Zeitraum von 27 Stunden 0,00016 % des weltweiten Anfrage-Traffics betraf. Es ist unwahrscheinlich, dass die betroffenen Client-Anfragen von außerhalb Nordamerikas kamen. Da Fastly keine Kundenlogdaten speichert, können wir nicht mit Sicherheit sagen, ob eine betroffene Anfrage falsch weitergeleitet wurde.

Am Donnerstag, dem 9. August, wurden auf der „Black Hat USA 2018“-Konferenz Forschungsergebnisse zu Cache-Poisoning-Angriffen auf Websites veröffentlicht, die hinter einer Caching-Infrastruktur betrieben werden. Bei diesen Angriffen konnten Angreifer beliebige Inhalte in den Cache eines Opfers injizieren. Fastly Servicekonfigurationen, die die Interaktion zwischen Headern, die Backends zur Auswahl von Inhalten verwenden, nicht berücksichtigen, können anfällig sein. Dieses Risiko kann durch einen VCL-Patch oder durch die Änderung von Backend-Konfigurationen komplett abgewehrt werden.

Am 6. August 2018 wurde eine Schwachstelle in der Linux-Kernel-TCP-Implementierung, genannt SegmentSmack, öffentlich bekannt gegeben. Diese Schwachstelle ermöglichte es einem entfernten Angreifer, einen Denial-of-Service-Angriff auf einen Zielserver auszuführen, indem er einfach eine TCP-Verbindung zum Server herstellte und bestimmte Segmente über diese Verbindung sendete. Wir haben bereits vor dieser Bekanntmachung mit der Sicherheitsgemeinschaft zusammengearbeitet, um diese Schwachstelle in unseren Edge-Netzwerken zu beheben. Sie stellen für Fastly Kunden keine Gefahr dar.

Am Mittwoch, den 3\. Januar, wurden Untersuchungen zu einer Art von Schwachstellen veröffentlicht, die bestimmte Prozessoren betreffen. Diese Schwachstellen könnten es einem Nutzer, der in der Lage ist, Code auf einem System ausführen, ermöglichen, über Sicherheitsgrenzen hinweg unbefugten Zugriff auf Informationen zu erlangen. Fastly hat eine erste Analyse dieser Schwachstellen abgeschlossen und glaubt nicht, dass sie eine unmittelbare Bedrohung für Fastly Kunden darstellen.

Vom 31\. August bis zum 4\. November setzte Fastly eine Version von Varnish ein, die einen Sicherheitsfehler enthielt, der in einem begrenzten und nicht standardisierten Konfigurationssatz Anfragetexte an Origin\-Server anderer Kunden weitergab. In diesen Fällen wäre ein Anfragetext, der an den Service eines betroffenen Fastly Kunden geschickt wurde, in einer fehlerhaften Anfrage an den Origin\-Server eines anderen Kunden enthalten gewesen, die möglicherweise in den Zugriffslogs dieses Origin\-Webservers aufgezeichnet wurde. Fastly hat eine umfassende Bewertung durchgeführt, um herauszufinden, welche Kunden am ehesten von diesem Problem betroffen sind. Diese Kunden wurden direkt von Fastly Customer Engineering kontaktiert.

Am Montag, dem 14. November 2016, veröffentlichten Sicherheitsexperten einen Artikel mit dem Titel „Measuring the Security Harm of TLS Crypto Shortcuts“. Neben anderen Erkenntnissen über die TLS-Implementierung an mehreren Standorten, wurde in dem Artikel festgestellt, dass Fastly die TLS-Sitzungstickets nicht oft wechselt, was die Wirksamkeit der Forward Secrecy einschränkt. Obwohl Fastly nicht direkt von den Forschern kontaktiert wurde, war es schon vorher auf das Problem aufmerksam gemacht worden und die Schwachstelle wurde am Freitag, den 11. November, korrigiert. Kunden brauchen nichts zu unternehmen, um von dem Fix zu profitieren.

Am 21. Oktober 2016 kam es bei Dyn, einem großen Managed-DNS-Anbieter, zu einem DDoS-Angriff, der zu Ausfällen führte, die sich auf mehrere große Websites, einschließlich der Fastly Infrastruktur (wie das Fastly Control Panel und die API) und Fastly Kunden, auswirkten. Wir haben mit unseren zusätzlichen Managed-DNS-Anbietern zusammengearbeitet, um die Verfügbarkeit während des Vorfalls sicherzustellen. Das hat die Auswirkungen für Fastlys Kunden gemildert.

Am 13. Oktober 2016 gegen 11:10 Uhr GMT traten bei Nutzern, die Websites mit GlobalSign TLS Zertifikaten besuchten – darunter auch einige, die von Fastly gehostet wurden – Fehler bei der TLS-Zertifikatvalidierung auf. Dieses Problem wurde durch falsche Zertifikatswiderrufsinformationen verursacht, die von unserem Zertifikatanbieter, GlobalSign, veröffentlicht wurden. Dieser Sicherheitshinweis beschreibt die Ursache dieses Problems und die Maßnahmen, die Fastly ergriffen hat, um die Auswirkungen bei den Kunden zu begrenzen.

Am Montag, dem 18\. Juli 2016, veröffentlichten Sicherheitsexperten Informationen über eine Schwachstelle im Umgang mit der Umgebungsvariable HTTP_PROXY durch bestimmte CGI-Skripte (Common Gateway Interface). Obwohl Fastly nicht von dieser Schwachstelle betroffen ist, können Webserver, die als Origin-Server verwendet werden, eine Vielzahl von Skripten ausführen, von denen einige anfällig sein können. In diesem Sicherheitshinweis erfahren Sie, wie Sie Ihre Origin-Server vor Angriffen schützen können.