Cloudflare 向全体用户发送紧急邮件，敦促尽快更新 Cloudflare One
Cloudflare 近日向用户发送紧急安全通知，敦促尽快在所有平台上部署最新版稳定版 Cloudflare One Client，以应对印度数字证书机构 eMudhra 的证书安全事件。
Cloudflare 表示，此次事件涉及八个中间证书的私钥遭到泄露，相关证书曾被浏览器、操作系统及 Cloudflare 等广泛信任，可能对互联网安全造成广泛影响。
根据 Cloudflare 于 10 月 20 日发布的官方博客，Cloudflare 于 10 月 19 日发现，与 eMudhra 八个中间证书相关的私钥遭到泄露。由于这些密钥存在严重的安全缺陷，攻击者可能利用它们为任意域名伪造证书，冒充合法服务器，进而拦截或篡改传输中的网络流量。
此次事件的关键问题在于证书私钥强度不足。安全研究人员发现，部分私钥极其容易被推算，其中一个私钥甚至仅为数字“4”。这意味着，攻击者可能绕过正常的证书信任机制，伪装成受信任的网站或服务，威胁依赖数字证书进行身份验证的网络通信安全。
针对此次事件，Cloudflare 表示，已优先修复关键服务，并针对 Cloudflare One Client（也称 WARP）、1.1.1.1 应用及 Cloudflare Tunnel（cloudflared）发布安全更新，同时对 CDN、开发者服务及 Zero Trust 产品部署了相应缓解措施。Cloudflare 特别强调，其安全审查目前尚未发现此次问题已被用于攻击 Cloudflare 自身服务的证据。
Cloudflare 在发给用户的邮件中指出，由于 Cloudflare One Client 的配置管理和隧道管理依赖第三方证书的完整性，此次更新至关重要。公司敦促用户立即将所有平台上的客户端升级至最新稳定版本，以降低潜在安全风险。
邮件原文
0 评论