5,5 millioner hjemmesider kan være ramt af en fejl, som har skabt et læk af sensitive data såsom passwords og cookies.
Fejlen er opstået hos servicen Cloudfare, der optimerer sikkerhed og ydeevne for 5,5 millioner hjemmesider. Cloudfare har annonceret, at fejlen blev opdaget sidste fredag, og at den nu er rettet. Dog kan den have luret i systemet i fem måneder - tilbage til den 22. september 2016.
Nogle af de lækkede data blev opfanget af søgemaskiner, hvorfor Cloudfare efterfølgende har haft fat i blandt andet Google og Bing for at få ryddet op. Det værste læk foregik fra den 13. til den 18. februar, hvor 1 ud af 3.300.000 http-anmodninger til Cloudfares sider afslørede sensitiv data.
Dog var de lækkede informationer fuldstændige tilfældige, og alt, der blev lækket, var ikke sensitivt, pointerer Cloudfares chefteknolog, John Graham-Cumming, over for mediet TechCruch.
Fandt lækkede krypteringsnøgler og beskeder fra datingsider
Buggen blev opdaget af Google ProjectZero-analytiker Tavis Ormandy.
Den befandt sig i en HTLM parser, der blandt andet opgraderer http-links til https. Her fungerede tre ting ikke korrekt: automatiske https-omskrivninger, mørklægning af e-mails og server-side excludes.
Ifølge Tavis Ormandy var der meget sensitive data i de prøver, han tog.
»Jeg finder private beskeder fra kæmpe dating-sider, fulde beskeder fra velkendte chatservices, online password manager-data, billeder fra pornosider, hotelbookinger. Vi snakker fulde https-anmodninger, kunders ip-adresser, fulde svar, cookies, passwords, nøgler, data, alting,« skriver Tavis Ormandy i et blogopslag.
Han mener, at Cloudfare underspiller alvoren i situationen.
Cloudfare selv har ifølge John Graham-Cumming ikke fundet beviser på, at de er ramt af hackere, der har udnyttet svagheden, skriver TechCrunch.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
