أعلنت شركة خدمات الإنترنت Cloudflare «كلاودفلير» التي توفر خدمات التشفير SSL لملايين المواقع عبر شبكة الإنترنت عن قيامها مؤخرا بتصحيح الخلل الذي قد يكشف مجموعة واسعة من بيانات العملاء مثل كلمات السر والدردشات النصية وغيرها من المعلومات المخزنة من قبل ملايين المواقع.

وتعرضت الشركة لخلل أدى إلى تسريب البيانات الشخصية الحساسة بما في ذلك ملفات تعريف الارتباط ومفاتيح الدوال البرمجية وكلمات السر لملايين المواقع.

وقالت الشركة إنها لم تحدد بعد وجود أي استخدامات ضارة للمعلومات، لكنها نبهت إلى وجود مشكلة إضافية لأن بعض البيانات قد تم تخزينها مؤقتا عن طريق محركات البحث.

واكتشف الباحث «ترافيس أورماندي» العامل ضمن فريق «جوجل» الأمني Project Zero هذا الخلل في 18 فبراير/شباط الجاري، والذي يسمح بتخزين البيانات الحساسة ضمن المواقع التي تعمل عبر خدمات شركة «كلاودفلير» مؤقتا من قبل محركات البحث بما في ذلك «جوجل»، إلا أن تأثيره قد يكون ممتدا منذ 22 سبتمبر/أيلول من العام الماضي.

وأضاف «ترافيس» أنه وجد حجوزات فنادق وكلمات سر من تطبيقات إدارة كلمات السر ورسائل كاملة من مواقع التعارف ضمن البيانات المخزنة مؤقتا، وتحدث عن وجود طلبات HTTPS كاملة وعناوين IP للعملاء وردود كاملة وكلمات سر ومفاتيح وبيانات وكل شيء.

وعمل مهندسي شركة «كلاودفلير» على تعطيل 3 ميزات تستخدم التعليمات البرمجية الحاوية على الخلل، والتي تسببت في المشكلة، وانتقلت الشركة للعمل مع محركات البحث التي عملت على تخزين تلك البيانات مؤقتا لديها من أجل مسحها.

وتعمل العديد من المواقع ذات الشعبية عبر خدمات «كلاودفلير» بما في ذلك Uber وFitbit وOkCupid، إلا أن الشركة قللت من تأثير هذا الخلل على العملاء، وأوضحت في بيان لها بأنها لم تكتشف أي دليل على وجود استعمال سيء.

وبحسب بيان الشركة فإن فترة التأثير الأكبر لهذا الخلل كانت بين 13 و18 فبراير/شباط الجاري، مع حوالي طلب واحد في كل 3 ملايين و300 ألف طلب HTTP من خلال «كلاودفلير» يحتمل أن يكون قد أسفر عن تسرب في الذاكرة.

وطمأنت شركة «وان باسوورد» (1password) لإدارة كلمات المرور العملية لدى شركة «كلاودفلير» مستخدميها أن الخلل لم يعرض أي من بياناتها للخطر.

وأضافت: «نريد أن نؤكد في الوقت الراهن ونذكر الجميع أننا صممنا (وان باسوورد) مع وجود توقع حول إمكانية فشل SSL/TLS».

وتسربت بعض رموز الجلسات الخاصة بشركة خدمات الركوب «أوبر»، مما قد يعرض بعض حسابات أوبر للخطر، إلا أن الشركة قالت أن هذه الرموز قد جرى تغييرها الآن ولا يوجد تسريب فيما يخص كلمات مرور المستخدمين.