Cloudflare corrige falha de isolamento em contêineres
A Cloudflare corrigiu uma vulnerabilidade que poderia permitir que clientes do plano Workers Paid acessassem vestígios de dados deixados por contêineres de outros usuários no mesmo servidor físico. O problema afetava os serviços Containers e Sandboxes, usados para executar aplicações e tarefas na infraestrutura da empresa.
A falha foi identificada pelo pesquisador de segurança Oren Yomtov, da empresa Accomplish, e comunicada à Cloudflare em 4 de setembro. Em determinadas condições, um cliente poderia recuperar informações remanescentes em blocos de armazenamento que haviam sido utilizados anteriormente por outro contêiner.
A origem do problema estava no sistema de armazenamento compartilhado. Quando um volume associado ao disco principal de um contêiner era removido, seus blocos físicos podiam voltar a um conjunto reutilizado por cargas de trabalho de diferentes clientes. No entanto, uma configuração fazia com que esses blocos fossem reaproveitados sem passar pela etapa de limpeza – a zeragem que deveria apagar os dados anteriores.
O mecanismo permitia que parte das informações antigas permanecesse legível. Segundo a explicação técnica divulgada pela Cloudflare, os pesquisadores conseguiam gravar 4 KiB em uma área não usada do disco de um novo contêiner. Como o sistema alocava blocos físicos de 64 KiB, os 60 KiB restantes poderiam manter conteúdo gravado por um usuário anterior.
Entre os materiais que poderiam estar nesses espaços estavam metadados do sistema de arquivos, listagens de diretórios, páginas de bancos de dados, arquivos SQLite, perfis do Chromium e arquivos de configuração ou credenciais, como os de extensão `.env`. A recuperação dependeria, porém, de o bloco ter sido reutilizado e ainda conter dados residuais.
Nos testes apresentados pelos pesquisadores, foram encontrados vestígios em 18 de 24 alocações de contêineres e em 20 de 22 nós examinados. A equipe identificou diferentes estruturas e até bancos SQLite com organização interna preservada. Esses resultados demonstraram que a falha era tecnicamente explorável, mas não comprovam que dados de clientes tenham sido obtidos por terceiros.
A Cloudflare afirmou que a avaliação foi conduzida com scripts que verificavam a presença de resíduos e contabilizavam os resultados, sem revelar o conteúdo real dos discos. Também não foi demonstrada a possibilidade de modificar arquivos de outro cliente ou interromper suas aplicações. A vulnerabilidade tampouco dava ao atacante controle sobre o servidor físico ou acesso a discos que estivessem conectados e em uso.
Para eliminar o risco, a empresa removeu a configuração que permitia reutilizar blocos sem zerá-los. Também desativou discos de contêineres existentes e limpou snapshots em cache que poderiam conservar mapeamentos antigos de armazenamento. De acordo com a Cloudflare, as medidas foram concluídas em 19 de setembro de 2026.
A empresa revisou registros, telemetria e informações históricas para verificar se havia sinais de exploração. Nessa análise, não encontrou evidências de que dados de clientes tenham sido expostos pelo método descrito. A correção foi aplicada diretamente à infraestrutura, sem exigir ações dos usuários.
O episódio destaca por que a limpeza de armazenamento é uma etapa essencial em serviços de nuvem multi-inquilino. Quando recursos físicos são compartilhados entre clientes, o provedor precisa assegurar que cada novo uso comece sem informações herdadas da carga de trabalho anterior. Uma falha nesse processo pode comprometer a separação lógica entre ambientes, mesmo que cada cliente utilize seu próprio contêiner.
Para empresas que usam contêineres em nuvem, o caso reforça a importância de acompanhar comunicados de segurança do fornecedor e manter controles próprios sobre dados sensíveis. Isso inclui evitar armazenar segredos desnecessários em arquivos de configuração, restringir credenciais ao mínimo indispensável e rotacioná-las quando houver suspeita de exposição.
Também é recomendável tratar imagens, discos e snapshots como partes do ciclo de vida dos dados. A exclusão de um contêiner não deve ser presumida como prova de que todas as informações foram imediatamente apagadas do meio físico. Cabe ao provedor garantir a sanitização dos blocos reutilizados e documentar os procedimentos de isolamento.
Na prática, clientes da Cloudflare não precisam alterar configurações ou reinstalar aplicações por causa desta ocorrência, segundo a empresa. Ainda assim, organizações com requisitos rigorosos de segurança podem registrar a resposta do fornecedor em seus processos internos de gestão de risco e confirmar que os controles contratuais e operacionais atendem às suas necessidades.