Brecha de aislamiento en la infraestructura compartida de Cloudflare
Cloudflare ha anunciado la resolución de una vulnerabilidad crítica en su servicio Cloudflare Containers y en sus entornos de Sandboxes. El fallo permitía que un cliente pudiera leer datos residuales almacenados en el disco duro que habían sido dejados por contenedores de otros clientes previamente eliminados en el mismo servidor físico.
Este incidente pone de manifiesto uno de los riesgos inherentes a la computación en la nube: el aislamiento de datos en entornos multi-inquilino (multi-tenancy). Aunque la compañía asegura que no hay indicios de que actores malintencionados hayan explotado esta vulnerabilidad, el potencial de exposición de información sensible era considerable.
El origen técnico: El aprovisionamiento ligero (Thin Provisioning)
La vulnerabilidad, reportada por investigadores de la firma de seguridad Accomplish a través del programa de recompensas de Cloudflare, residía en la configuración de los discos compartidos. Cloudflare utiliza una característica de Linux denominada thin provisioning, que asigna almacenamiento en bloques de 64 kilobytes según sea necesario.
El problema surgió porque el sistema estaba configurado para omitir el proceso de «limpieza» o borrado de los bloques antes de entregarlos a un nuevo contenedor. En términos técnicos, cuando un contenedor era eliminado, sus bloques regresaban a un pool común. Si el siguiente cliente que recibía esos bloques escribía menos de 64 KB, el espacio restante seguía conteniendo los datos binarios del usuario anterior.
¿Qué tipo de datos estaban en riesgo?
Durante las pruebas de concepto, los investigadores lograron recuperar información crítica de servidores distribuidos en cuatro continentes. Entre los hallazgos se incluyeron:
- Bases de datos SQLite completas.
- Archivos de configuración de entorno (
.env). - Credenciales y claves de acceso.
- Perfiles de navegación de Chromium.
- Estructuras de directorios internos.
Es importante destacar que un atacante no podía elegir de qué cliente obtener los datos, ya que la asignación de servidores es gestionada automáticamente por Cloudflare, pero la probabilidad de éxito fue alta: los investigadores recuperaron datos en 18 de 24 intentos en entornos de producción.
Respuesta y mitigación de Cloudflare
Cloudflare actuó con celeridad tras el reporte recibido el 4 de septiembre de 2026, implementando una solución en dos fases:
- Activación del borrado de bloques: Se forzó la limpieza de cada bloque de almacenamiento antes de ser reasignado a nuevos contenedores.
- Limpieza de infraestructura existente: Dado que la primera medida no afectaba a los contenedores ya en ejecución, la empresa retiró todos los discos de contenedores activos y limpió las memorias caché de imágenes en sus servidores globales.
La compañía ha confirmado que, tras auditar sus registros de actividad de disco, solo se detectaron las pruebas autorizadas de los investigadores y sus propios ingenieros, descartando una explotación externa previa.
Lecciones para el sector empresarial
Para las organizaciones que dependen de infraestructuras Serverless o de contenedores, este caso subraya la importancia de la higienización de datos. Aunque la responsabilidad de la infraestructura recae en el proveedor de servicios en la nube (CSP), las empresas deben ser conscientes de que el aislamiento lógico no siempre es infalible.
Desde la perspectiva de cumplimiento y seguridad, este incidente recuerda que la gestión de vulnerabilidades y los programas de Bug Bounty son herramientas esenciales para mantener la confianza en los servicios digitales modernos. Cloudflare ha confirmado que sus clientes no necesitan realizar ninguna acción adicional, ya que el parche se aplicó a nivel de infraestructura central.
Fuentes
- The Hacker News — Cloudflare Fixes Flaw That Let One Container Read Another Customer’s Leftover Disk Data
https://thehackernews.com/2026/09/cloudflare-fixes-flaw-that-let-one.html