كشف باحثون في الأمن السيبراني عن هجوم جديد من نوع Spectre استهدف بيئة Cloudflare Workers، تمكن من تسريب رمز JSON Web Token (JWT) من عامل (Worker) مجاور في بيئة الإنتاج بسرعة تصل إلى 12 بت في الثانية، أي أسرع بـ 360 مرة من الهجوم السابق الموثق عام 2021. التجربة أجريت باستخدام عامل مهاجم وعامل ضحية تحت سيطرة الباحثين، مع وضع الرمز عمداً في ذاكرة الضحية، وأكدت الورقة البحثية أنه لم يتم الوصول إلى بيانات العملاء.
آلية الاستغلال
تعتمد Cloudflare Workers على تشغيل أكواد متعددة المستأجرين في عزلات V8 داخل نفس العملية، بهدف تقليل زمن بدء التشغيل عبر العزل على مستوى اللغة بدلاً من العزل الصارم على مستوى العمليات. الهجوم يتطلب أن يكون العامل المهاجم والضحية متواجدين في عزلات منفصلة ضمن نفس العملية، حيث يمكن قراءة الذاكرة المشتركة والتسريب عبر قنوات جانبية. الباحثون وجدوا أن:
- اتصالات WebSocket توفر مصدر توقيت عن بُعد.
- Durable Objects تبقي العزلة نشطة لساعات طويلة، ما يسمح باستمرار الهجوم قبل تطبيق العزل.
- النشاط الكثيف لـ WebSocket يقلل من إشارات التنبؤ بالفروع التي يعتمد عليها نظام DyPrIs للكشف، ما يضعف قدرته على رصد الهجوم.
إجراءات Cloudflare الدفاعية
أعلنت الشركة أنها عالجت الثغرة عبر:
- تحسين DyPrIs لعزل العمليات المشبوهة بشكل أفضل.
- دمج V8 Sandbox لتقييد الوصول المؤقت إلى المؤشرات.
- استخدام مفاتيح حماية الذاكرة MPK لعزل الذاكرة داخل العملية.
هذه الإجراءات تهدف إلى منع مشاركة المفاتيح بين العزلات وتقليل فرص التسريب، مع اعتماد تصميم يدمج MPK مع V8 Sandbox وتخطيط ذاكرة متغير باستمرار.
نتائج الاختبار
أظهرت التجارب أن معدل التسريب بلغ 12 بت/ثانية بدقة 99.16%، مقارنة بـ 2 بت/دقيقة في الهجوم السابق. تمت الاختبارات على خوادم لينكس باستخدام معالجات AMD EPYC Zen 2 وZen 3، حيث لوحظ أن الحمل العالي يقلل معدل التسريب لكنه لا يمنع الهجوم تماماً.
خلفيات أمنية
الهجوم الجديد يأتي بعد خمس سنوات من بحث مشترك بين Cloudflare وTU Graz الذي أظهر هجوم Spectre عن بُعد بمعدل 120 بت/ساعة، وقدمت حينها الشركة نظام DyPrIs كحل دفاعي. لكن الدراسة الحالية أوضحت أن النظام يعاني من قيود جوهرية في طريقة الكشف، وأن الاعتماد على إشارات يمكن إضعافها عبر نشاط الإدخال/الإخراج لا يوفر حماية كافية.
