Un nuovo attacco Spectre remoto ha permesso di estrarre un JSON Web Token da Cloudflare Workers a una velocità di 12 bit al secondo, 360 volte superiore rispetto ai precedenti. Cloudflare ha già implementato contromisure avanzate per bloccare la vulnerabilità.
Un team di ricercatori di sicurezza informatica ha rivelato i dettagli di un attacco Spectre remoto che ha colpito Cloudflare Workers, consentendo la sottrazione di un JSON Web Token (JWT) da un Worker co-locato nell'ambiente di produzione a una velocità di 12 bit al secondo. Questo risultato rappresenta un salto significativo rispetto agli attacchi precedenti, che raggiungevano appena 2 bit al minuto. L'esperimento, condotto in condizioni controllate, ha coinvolto un Worker attaccante e uno vittima, entrambi gestiti dai ricercatori, con il JWT inserito intenzionalmente nella memoria della vittima. È stato confermato che nessun dato reale di clienti è stato compromesso.
Limiti dell'isolamento e tecniche di attacco
Secondo il paper pubblicato, l'implementazione di Dynamic Process Isolation (DyPrIs) in produzione non era sufficiente a prevenire la fuga di dati tra i diversi V8 isolates che Cloudflare Workers utilizza per separare il codice dei vari tenant. L'attacco richiede che l'attaccante e la vittima siano co-locati nello stesso processo Worker ma in isolati V8 distinti, senza necessità di esecuzione di codice nativo o exploit del motore V8. Cloudflare limita le fonti di temporizzazione locali e non espone memoria condivisa o multithreading agli script, ma i ricercatori hanno sfruttato le comunicazioni WebSocket come fonte di temporizzazione remota e le Durable Objects per mantenere attivo un isolate per molte ore, aggirando così le difese di DyPrIs.
Analisi delle vulnerabilità e mitigazioni adottate
I ricercatori hanno osservato che un'intensa attività I/O tramite WebSocket riduceva l'efficacia del segnale di branch-misprediction usato da DyPrIs per rilevare comportamenti sospetti, permettendo all'attacco di passare inosservato. I test sono stati condotti su server Linux con processori AMD EPYC Zen 2 e Zen 3, in orari notturni per minimizzare il carico di sistema e massimizzare la velocità di estrazione. Anche sotto carico elevato, sebbene la velocità di fuga diminuisse, l'attacco restava praticabile.
Risposta di Cloudflare e nuove difese
Cloudflare ha dichiarato di aver già risolto la vulnerabilità in produzione, rafforzando DyPrIs, integrando il V8 Sandbox e adottando l'isolamento in-process basato su Memory Protection Keys (MPK). Queste misure impediscono che heap di diversi Worker condividano la stessa chiave di protezione, riducendo drasticamente il rischio di accessi incrociati. L'azienda ha inoltre sottolineato di non aver rilevato segni di sfruttamento attivo negli ultimi tre anni.
Contesto e precedenti nella sicurezza cloud
La scoperta arriva quasi cinque anni dopo la pubblicazione della prima ricerca su attacchi Spectre remoti contro Cloudflare Workers, che aveva portato all'introduzione di DyPrIs. Da allora, Cloudflare ha continuato a rafforzare la sicurezza della piattaforma, pubblicando aggiornamenti anche nel settembre 2025. Il tema della fuga di dati tramite vulnerabilità hardware e software nei servizi cloud è sempre più centrale, come dimostrato anche da altri casi di attacchi avanzati a infrastrutture critiche, tra cui quelli descritti nell'analisi sulle tecniche di occultamento dei rootkit kernel-mode utilizzate da gruppi come Mustang Panda (approfondimento sulle strategie di attacco avanzate).
