Un bug de Cloudflare déclenche des avertissements concernant les mots de passe sur les plateformes d'échange de Bitcoin

Les utilisateurs d'échanges de Bitcoin et d'autres services en ligne sont avertis de changer leurs mots de passe à la lumière d'un bug récemment découvert lié à la société de sécurité Web Cloudflare.

Cloudflare, qui fournit une protection contre le déni de service, a détaillé le problème dansun article de blogpublié aujourd'hui.  L'entreprise a été la premièrecontactéà propos du bug signalé la semaine dernière par le chercheur en cybersécurité de Google, Tavis Ormandy.

Le bug dit « Cloudbleed » – une référence à celui de 2014Vulnérabilité de Heartbleed– aurait commencé à affecter les services dès septembre 2016, permettant la fuite de mémoire qui comprenait des informations sensibles telles que des mots de passe et des jetons d'authentification. L'entreprise a déclaré que le bug avait depuis été corrigé.

La nouvelle du bug a déclenché des avertissements de la part d'échanges commePoloniex et Kraken, qui suggérait aux utilisateurs de modifier leurs mots de passe, leur authentification à deux facteurs et leurs clés API. Plus généralement, les défenseurs de la cybersécurité ont vivement encouragé les utilisateurs de tout site utilisant Cloudflare à modifier leurs mots de passe par mesure de précaution.

Selon le billet de blog de Cloudflare, la véritable menace pour les utilisateurs résultait de la capture de certaines de ces informations par les moteurs de recherche.

L'entreprise a expliqué :

Le bug était grave, car la mémoire divulguée pouvait contenir des informations privées et avait été mise en cache par les moteurs de recherche. Nous n'avons également découvert aucune preuve d'exploitation malveillante du bug ni aucun autre signalement de son existence. La période la plus impactante s'est déroulée entre le 13 et le 18 février, avec environ une requête HTTP sur 3 300 000 via Cloudflare susceptible d'entraîner une fuite de mémoire (soit environ 0,00003 % des requêtes).

Un utilisateur surGitHuba dressé une liste de sites potentiellement affectés par le bug, qui comprend des services industriels comme Coinbase, BitPay, Blockchain et LocalBitcoins.

D’autres sites Web majeurs, notamment Reddit, Uber et OKCupid, seraient également touchés.

CoinDesk continuera de surveiller cette histoire en développement.

Image viaShutterstock