Cloudflareの社内サーバーへの不正アクセスについてまとめてみた - piyolog
2024年2月2日、Cloudflareは同社が運用するAtlassianサーバーが2023年11月に不正アクセスの被害にあっていたとして、その対応と調査結果について公表しました。ここでは関連する情報をまとめます。 CloudflareのAtlassianサーバーに不正アクセス blog.cloudflare.com 不正アクセスの被害が確認されたのは、Cloudflareが社内Wikiやバグ管理で使用していたオンプレミスのAtlassianサーバーおよびAtlassian製品。約10日間にわたって同社システムに対して攻撃者による活動が行われていた。 攻撃者は有効となっていたMoveworks用のサービストークンを悪用し、ゲートウェイ経由で認証後にAtlassian JiraとConfluenceに対して不正アクセスを行っていた。さらにSmartsheet用アカウントを使用してCloudf
Cloudflare Pagesにおける権限昇格と任意ページの改竄
You can read about these vulnerabilities in English at https://ec0.io/post/hacking-cloudflare-pages-part-2/ 免責事項Cloudflareは、HackerOne上で脆弱性報奨金制度(Bug Bounty)を実施しており、脆弱性の診断行為を許可しています。 本記事は、当該制度を通して報告された脆弱性をCloudflareセキュリティチームの許可を得た上で公開しているものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 また、Cloudflareは脆弱性調査において他の研究者との協力を許可しており、脆弱性調査を目的とした他の研究者との脆弱性情報の共有が許可されています。 Cloudflareが提供する製品に脆弱性を発見した場合は、Cloudflareの脆弱性報奨金
Cloudflare、Twilioと同じフィッシング攻撃を受けるも完全回避 ハードキーが鍵
米CDN（Content Delivery Network）大手のCloudflareは8月10日（現地時間）、米Twilioが7日に発表したものと同じ高度なソーシャルエンジニアリング攻撃を受けたが、日頃の備えが奏功し、すべて阻止したと発表した。 Twilioが攻撃されたのとほぼ同時期に、Cloudflareの多数の従業員に対する攻撃があった。3人の従業員がこれにだまされたが、自社製品「Cloudflare One」ですべてのアプリへのアクセスに物理的なセキュリティキー（ハードキー）による認証を義務付けていたため、攻撃を阻止できたとしている。 攻撃が始まったのは7月20日。セキュリティチームに対し、少なくとも76人の従業員が、個人用および仕事用のスマートフォンで不審なテキストメッセージを受け取ったと報告した。攻撃者がどのようにして従業員の電話番号リストを入手したかはまだ特定できていない。
Cloudflare outage on June 21, 2022
This post is also available in Deutsch, Français, 简体中文, 繁體中文, 日本語, 한국어, Español and ไทย. IntroductionToday, June 21, 2022, Cloudflare suffered an outage that affected traffic in 19 of our data centers. Unfortunately, these 19 locations handle a significant proportion of our global traffic. This outage was caused by a change that was part of a long-running project to increase resilience in our busi
Cloudflare R2もいいぞ！ - ゆーすけべー日記
CloudflareがSQLデータベースD1をアナウンスして衝撃を受けましたが、「R2もいいぞ！」というお話。 R2はS3みたいなストレージエンジンで、Sの前「R」、3の前の「2」ともじってて、AWS対抗といえます。で、ちょうどD1がアナウンスされた昨日にベータオープンしました。 A New Hope for Object Storage: R2 enters open beta 「ただのストレージだろ」とたかをくくってたんですが、使ってみてだいぶよいです。 先にまとめると以下の3つのことが言えます。 安い DX（Developer Experience）がよい Cloudflareの他の製品を組み合わせるとヤバい 詳しく紹介します。 作ったアプリ R2を評価するために、以前S3をバックエンドにして作ったアプリケーションをR2に置き換えるというのをやりました。そのアプリケーションについては
Miniflare 2.0: fully-local development and testing for Workers
Miniflare 2.0: fully-local development and testing for Workers01/07/2022 This post is also available in 日本語. In July 2021, I launched Miniflare 1.0, a fun, full-featured, fully-local simulator for Workers, on the Cloudflare Workers Discord server. What began as a pull request to the cloudflare-worker-local project has now become an official Cloudflare project and a core part of the Workers ecosyst
最近知ったCloudflareで実はこんなこともできる集
Argo Tunnel Client(cloudflared)をngrokの代替として使う cloudflaredというArgo Tunnelクライアントを使えば、ngrokのようにローカルサーバを外部に公開することができる。 # localhost:8080 を公開する。実行後に表示されるURLを使ってどこからでもアクセスできる。 cloudflared tunnel --url http://localhost:8080 これだけならばわざわざ乗り換える理由にはならないが、ngrokでは有料でしか使えない機能も無料プランで使える。 カスタムドメインの割り当て SSOによる認証 TCPのプロキシ セキュアでDDNSのいらないVPNの構築 例えば個人で自宅にVPNの環境を作る場合、ルーターのVPN機能を使うか、VPNサーバを立ててDDNSでドメインを自宅のグローバルIPに紐付けるといったや
Cloudflare Workers 面白い - ゆーすけべー日記
追記 Cloudflare Workers向けのWebフレームワークを作っているので、そちらを是非チェックしてみてください！ honojs/hono: Ultrafast web framework for Cloudflare Workers. Fast, but not only fast. Cloudflare Workers が面白い。面白いので、いくつか簡単なアプリを作ってみた。例えば、そのひとつが Slack Bot で「yusukebe++」とかやるとインクリメントされるやつ。 今回は Cloudflare Workers の面白さについて解説する。より興味のある方がいれば、上記のコードを参考にしてもらうといいだろう。 Cloudflare Workers とは？ Cloudflare の CDN エッジでスクリプトが動くのが Cloudflare Workers。いわゆる
Cloudflareのcdnjsにおける任意コード実行
はじめに(English version is also available.) cdnjsの運営元であるCloudflareは、HackerOne上で脆弱性開示制度(Vulnerability Disclosure Program)を設けており、脆弱性の診断行為を許可しています。 本記事は、当該制度を通して報告された脆弱性をCloudflareセキュリティチームの許可を得た上で公開しているものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 Cloudflareが提供する製品に脆弱性を発見した場合は、Cloudflareの脆弱性開示制度へ報告してください。 要約cdnjsのライブラリ更新用サーバーに任意のコードを実行することが可能な脆弱性が存在し、結果としてcdnjsを完全に侵害することが出来る状態だった。 これにより、インターネット上のウェブサイトの内12.7
Cloudflareで(ようやく)https化(2) - tDiary.Net(1) - ただのにっき(2020-03-11)
■ Cloudflareで(ようやく)https化(2) - tDiary.Net(1) 先日のtdtds.jpのCDN化がなんのトラブルもなくうまくいったので、次はtDiary.Net。現在、第一から第三あたりまではそれなりに動いてるっぽいんだけど*1、これらを勝手にCloudflareの下に置きます。たぶん誰も文句言わないだろう(←)。 前回同様、DNSは自動ではまともに読み込んでくれなかったので、今回はCloudflareが提供するAPIを使って全ホストのCNAMEを登録した。cURLを叩くシェルスクリプトをでっちあげただけなので詳細は省く。こんな感じ: entry() { name=$1 host=$2 curl -X POST "https://api.cloudflare.com/client/v4/zones/${zone_id}/dns_records" \ -H "Aut
Cloudflareで(ようやく)https化(1) - tdtds.jpで試す, ミリシタイベント プラチナスターシアター「Beat the World!!」 - ただのにっき(2020-03-09)
■ Cloudflareで(ようやく)https化(1) - tdtds.jpで試す Webのhttps接続が「あたりまえ」になってはや数年が経過しているが、自分で運営しているサイトでhttps化はごく一部*1にとどまっている。Let's encryptを使えばかんたんなのはわかっているけど、運用中に気にしなきゃいけないことが増えるのがどうにもなぁ……とか言ってたら、時代はすでにCookieの新しいカタチの議論に進んでしまっており、のんびりしているわけにもいかなくなってしまった。ここまで前置き。 というわけで、どうせ気にすることを増やすならより楽な方へ……ということで、定番Cloudflareのお世話になることに。まずはテストがてらtdtds.jpのDNS設定を読み込ませて──ここで全部のエントリがちゃんと読み込まれなかったのがショックだったが、まぁ数は少ないので手動で足した──、レジスト
APNIC Labs enters into a Research Agreement with Cloudflare | blabs
Javascript is disabled We would like to provide you with a better user experience. Please re-enable Javascript in your web browser. APNIC Labs is partnering with Cloudflare for a joint research project relating to the operation of the DNS. I’d like to explain our motivation in entering into this research project, explain what we hope to be able to achieve with this work, and describe briefly how w
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
