Cloudflare използва Web Application Firewall (WAF) за защита на сървъри и приложения от злонамерени външни заявки. WAF филтрира нежелан трафик и блокира потенциални атаки.

Изследователи от FearsOff откриха, че WAF е „пропускал“ всички заявки към пътя:

Този път е предназначен за автоматични HTTPS сертификатни обновления, при които сертифициращите органи (CAs) проверяват токени на сървъра.

В резултат на това Cloudflare не блокираше никакви заявки към този път, което означаваше, че атакуващите могат да достигнат директно до сървъра.

Какво можеха да направят хакерите

Чрез специално конструирани URL адреси и експлоатиране на различни уязвимости, изследователите демонстрираха възможности като:

• Достъп до чувствителни конфигурационни файлове – /etc/hosts, .env файлове, съдържащи пароли, API ключове и cloud credentials.

• Използване на PHP routing или Next.js routing проблеми за излагане на операционни детайли, които не трябва да са публични.

• DLL или cache poisoning техники за доставка на злонамерени данни до потребители.

• Използване на traversal quirk (..;/) в servlet stacks, за да се достъпи /actuator/env с чувствителни конфигурации и ключове.

Изследователите подчертават, че такива данни могат значително да увеличат „blast radius“ при потенциална атака.

Реакцията на Cloudflare

След като бе сигнализирана уязвимостта, Cloudflare отговори бързо:

• Патчът беше пуснат през октомври 2025 г.

• WAF вече остава активен за всички заявки, освен ако те не са потвърдени като истински ACME HTTP-01 сертификатни проверки.

• Компанията заявява, че не са открити доказателства за злонамерена употреба.

• Клиентите не трябва да предприемат допълнителни действия.

Какво научаваме от инцидента

1. Автоматизацията и удобството може да крият рискове – пътят за сертификатни обновления беше предвиден за CAs, но WAF го игнорираше.

2. WAF конфигурациите трябва да са внимателни и контекстуални – „пропуск“ може да даде директен достъп до чувствителни данни.

3. Етичните хакери имат ключова роля – откриването и отговорното разкриване предотвратява масови злоупотреби.