The Cloudflare Blog
·
我们如何缓解Cloudflare ACME验证逻辑中的漏洞
内容提要
2025年10月13日，FearsOff的安全研究人员发现Cloudflare的ACME验证逻辑存在漏洞，影响部分WAF功能。该漏洞已修复，Cloudflare客户无需采取行动，且未发现恶意利用。漏洞源于ACME HTTP-01挑战路径的请求处理逻辑，Cloudflare已更新代码，仅在请求匹配有效挑战令牌时禁用安全功能。
关键要点
-
2025年10月13日，FearsOff的安全研究人员发现Cloudflare的ACME验证逻辑存在漏洞，影响部分WAF功能。
-
该漏洞源于ACME HTTP-01挑战路径的请求处理逻辑，导致WAF功能在某些请求中被禁用。
-
Cloudflare已修复该漏洞，客户无需采取任何行动，且未发现恶意利用。
-
ACME协议用于自动化SSL/TLS证书的颁发、续订和撤销。
-
漏洞的根本逻辑缺陷在于某些请求会导致WAF功能被禁用，从而允许请求继续到达客户源。
-
修复措施是更新代码，仅在请求匹配有效的ACME HTTP-01挑战令牌时禁用安全功能。
-
Cloudflare感谢外部研究人员负责任地披露漏洞，并鼓励社区提交任何发现的漏洞。
-
Cloudflare承诺优先考虑安全，并在出现问题时迅速透明地采取行动。
延伸解读
漏洞影响的背景
Cloudflare的ACME协议用于自动化SSL/TLS证书的管理，确保网站安全。然而，此次漏洞导致某些请求绕过了Web应用防火墙（WAF），可能使得未授权访问成为可能。尽管Cloudflare已修复漏洞，但了解其影响有助于用户更好地理解安全防护的重要性。
修复措施的意义
Cloudflare通过更新代码，确保只有在请求匹配有效的ACME挑战令牌时，才会禁用安全功能。这一修复措施不仅增强了系统的安全性，也表明了Cloudflare对客户安全的重视，提升了用户对其服务的信任度。
社区参与的重要性
Cloudflare鼓励外部研究人员报告漏洞，这种开放的态度有助于提升整体安全性。社区的参与不仅能帮助发现潜在问题，还能促进技术的进步，用户应关注并参与到这样的安全生态中。
延伸问答
Cloudflare的ACME验证逻辑漏洞是什么？
该漏洞影响了Cloudflare的WAF功能，源于ACME HTTP-01挑战路径的请求处理逻辑，导致某些请求中WAF功能被禁用。
Cloudflare是如何修复这个漏洞的？
Cloudflare通过更新代码，确保只有在请求匹配有效的ACME HTTP-01挑战令牌时才禁用安全功能，从而修复了漏洞。
这个漏洞对Cloudflare客户有影响吗？
Cloudflare客户无需采取任何行动，且未发现恶意利用该漏洞的情况。
ACME协议的作用是什么？
ACME协议用于自动化SSL/TLS证书的颁发、续订和撤销。
漏洞的根本逻辑缺陷是什么？
根本逻辑缺陷在于某些请求会导致WAF功能被禁用，从而允许请求继续到达客户源。
Cloudflare对外部研究人员的态度是什么？
Cloudflare感谢外部研究人员负责任地披露漏洞，并鼓励社区提交任何发现的漏洞。
