2019年11月14日
このセキュリティアドバイザリーは、Fastly のミネアポリス セントポール (STP) データセンターで、2019年11月11日午後9:57 UTC から2019年11月13日午前12:50 UTC の間 (約27時間) に HTTP/2クライアントリクエストが処理されたお客様に適用されます。すべてのお客様またはすべてのトラフィックに適用されるものではありません。
概要
2019年11月11日午後9:57 UTC に、Fastly は HTTP/2終端ソフトウェアの新しいビルドを、ミネアポリス セントポール (STP) データセンターにある Fastly の2台のキャッシュサーバーにデプロイしました。このビルドには、(HTTP/2多重化に関係しない) 内部 Fastly システムの間での接続再利用に関連する処理の欠陥があり、Fastly のお客様のサービスに対する HTTP/2リクエストの一部が、最大20件の Fastly のお客様のサービスとオリジンのグループに誤ってルーティングされる可能性がありました。このため、一部のクライアントリクエストデータが、誤ったお客様のオリジンに配信され、そのお客様のオリジンからレスポンスが返されました。オリジンでこれらのリクエストを誤って受信したお客様は、誤ってルーティングされたリクエストデ ータを記録している可能性があります。
Fastly が最初にお客様からクライアントエラーの連絡を受けたのは、2019年11月12日午後11:07 UTC でした。2019年11月13日午前12:50 UTC には、すべてのカスタマートラフィックは、影響を受けたデータセンターを迂回するようになりました。Fastly は速やかに調査を開始し、2019年11月14日午前12:31 UTC には、誤ってルーティングされたリクエストデータの存在をお客様のログで検証しました。
私たちはこの障害が、27時間の間に世界中のリクエストトラフィックのうち0.00016%に影響を与えたと推定しています。また、影響を受けたクライアントリクエストが北米以外から送信された可能性は低いです。
Fastly はお客様のログデータを格納していないため、影響を受けたリクエストが誤ってルーティングされたかどうかを断定することができません。
この27時間、問題はミネアポリス セントポール (STP) (トラフィックが少ない単一のデータセンター) にある2台の Fastly キャッシュサーバーに限定され、すべてのカスタマートラフィックに影響したわけではありませんでした。
このデータセンターへのリクエストのうち、次の基準をすべて満たすものが影響を受けました。
影響を受けたリクエストは、Fastly の IP-to-Service Pinning 機能を使用している Fastly のお客様20社に誤ってルーティングされました。Fastly およびオ リジンのロギング設定によりますが、これら20社では、クライアントリクエストデータを記録している可能性があります。Fastly はお客様と協力して、このインシデントに関連するログデータを調査目的で入手しました。また、影響を受けたお客様には、要請に基づいてそのログデータを提供しました。
影響を受けたリクエストを送信したクライアントは、誤ったサービスおよびオリジンからレスポンスを受信した可能性があります。このため、クライアントが、予期しないレスポンスを受信したかもしれません。誤ったオリジンが、認識しない Host ヘッダーと Uniform Resource Identifier (URI) を含むリクエストに応答した可能性があるためです。そのようなレスポンスの例として、誤ったオリジンからの404エラーページ (そのオリジンのテキストや画像などのコンテンツが含まれる可能性があります)が挙げられます。
次のいずれかの基準を満たすリクエストは影響を受けませんでした。