개요
클라우드블리드(Cloudbleed)는 2017년 2월 17일에 발견된 보안 버그다. 인터넷 DNS 서비스 클라우드플레어(Cloudflare)의 리버스 프록시(Revers Froxy)에 영향을 끼치는 버그로, 원래는 담기면 안 되는 개인 정보―HTTP 쿠키·인증 토큰·기타 민감 정보 등이 버퍼 메모리에 담겨 전송된 것이다. 이들 중 일부 데이터는 검색 엔진에 의해 저장(캐시)되었다.
유출되면 안 되는 정보가 제3자에 의해 탈취·열람할 수 있다는 점에서 2014년 4월 발견된 하트블리드(Heartbleed)와 비견되며, 클라우드블리드의 피해가 더 클 수도 있다는 주장이 제기된다.
발견
클라우드블리드는 구글 '프로젝트 제로 팀'에서 처음 보고되었다. 글을 올린 타비스 오르만디(Tavis Ormandy)는 해당 문제를 클라우드플레어 측에 통보했으며, 이 버그를 통해 "주요 데이트 사이트에서 보낸 개인적인 메시지, 잘 알려진 채팅 서비스에서 오고 간 모든 메시지, 온라인 비밀번호 관리자 데이터, 포르노 영상의 프레임, 호텔 예약 등을 찾아낼 수 있었다"고 말했다. 그에 따르면 이번 버그를 통해 드러나게 되는 것은 "(원래대로라면 보안처리가 되어야 하는)HTTPS 요청, 클라이언트 IP 주소, 모든 요청(Responses), 쿠키, 비밀번호, 키, 데이터 등 모든 것"이다. 오르만디는 90일 뒤에 구체적인 버그 리포트를 공개하겠다고 밝혔다.
클라우드플레어 측은 47분 만에 응급조치를, 7시간 후에 정식 픽스(패치)를 발표했다.
대응
클라우드플레어 측은 2017년 2월 23일 관련 포스트를 게재했다.
이 버그는 개인정보를 포함한 메모리가 유출되어 검색 엔진에 저장될 수 있다는 점에서 심각합니다. 아직까지는 이 버그로 누군가 악의적인 공격을 하거나 그로 인한 피해를 실제로 입었다는 보고는 발견하지 못했습니다. 가장 큰 영향을 받은 기간은 2월 13일~18일이었으며, 클라우드플레어를 통한 3,300,000건의 HTTP 요청 당 약 1건의 메모리 누출이 발생했습니다(요청 건수의 약 0.00003%).
클라우드플레어는 2016년 9월 22일에도 메모리 유출 가능성이 있었다고 인정했다. 또한 머신-투-머신 암호화에서 사용하는 자체 비공개 키 하나가 유출되었다고 전했다.
대처
클라우드플레어 서비스를 사용하는 모든 사이트가 클라우드블리드에 노출되었다고 보아야 한다. (클라우드플레어를 사용하는 사이트 검색) 해외의 주요 웹사이트로는 우버, 레딧 등이 꼽히며, 국내 주요 웹사이트 중에서는 나무위키, 오늘의유머, 일간베스트저장소(일베), 티비플, 딴지일보, 조아라 닷컴 등이 해당한다.
클라우드플레어 서비스를 사용하는 사이트의 관리자는 즉각 이 사실을 공지하고 사용자의 비밀번호를 변경할 것을 안내해야 한다. 사용자는 클라우드플레어 서비스를 사용중인 모든 인터넷 사이트의 비밀번호를 즉시 변경해야 한다. 만약 사이트마다 비밀번호가 비슷하거나 같은 것을 사용한다면 클라우드플레어 여부와 상관없이 모든 인터넷 사이트의 비밀번호를 변경할 것이 권고된다.
아름드리 위키가 있는 위키독은 클라우드플레어 서비스를 사용하지 않아 클라우드블리드의 영향을 받지 않지만, 만약을 위해 비밀번호 변경을 권장한다.
외부링크
- Cloudbleed(767399306판), 위키피디아 (2017.02.26. 확인)
- 프리루트. 클라우드 플레어, 전세계적으로 중요한 보안사고 발생, 2017.02.25.
- 문가용. 클라우드블리드 사태로 민감한 정보 다량 유출됐다, 보안뉴스, 2017.02.27.