Аноны тоже хотят обсудить Проблема в инфраструктуре CloudFlare привела к разглашению приватной информации 4 миллионов сайтов
Проблема у cloudflare аналогичная heartbleed, когда злоумышленник мог смотреть неинициализированную память удалённого сервера, получая таким образом доступ к plain text данным: паролям, сообщениям и т.п. Однако, в heartbleed для этого требовался специальный malformed запрос. Cloudflare же выплёвывал эти данные самостоятельно так, что их (приватные сообщения на сайтах, персональные данные, пароли) проиндексировали даже поисковики.
Уязвимость обнаружил сотрудник G, который потратил десятки часов (в том числе своих выходных) на изучение проблемы. Как положено, cloudflare были проинформированы. Они взяли 90 суток на исправление. По истечение этого времени, сотруднику G дали самую большую bug bounty награду - футболку с логотипом cloudflare и опубликовали пост, где исказили суть уязвимости так, как будто это и не уязвимость вовсе.
Таким образом, cloudbleed можно смело назвать уязвимостью года.
