缓解 Cloudflare AI 产品中的令牌长度侧信道攻击
2024-03-14
Workers AI 和 AI Gateway 团队最近与本古里安大学的安全研究人员密切合作，通过我们的公共漏洞悬赏计划提交了一份研究报告。通过这个流程，我们发现并完全修补了一个可能会影响所有大型语言模型 (LLM) 提供商的漏洞。以下是完整的内容...
继续阅读 »
使用 Cloudflare One，消除 VPN 漏洞
2024-03-06
由于检测到 Ivanti Connect Secure 和 Policy Secure 漏洞，美国网络安全和基础设施安全局 (CISA) 近期发布了一项紧急指令。在这篇博客中，我们将讨论利用这些漏洞的威胁行为者策略...
修复新的 DNSSEC 资源耗尽漏洞
2024-02-29
Cloudflare 最近修复了两个严重的 DNSSEC 漏洞：CVE-2023-50387 和 CVE-2023-50868。这两个漏洞都会耗尽验证 DNS 解析器的计算资源。这些漏洞不会影响我们的权威 DNS 或 DNS 防火墙产品...
Cloudflare 的 AI WAF 如何主动检测到 Ivanti Connect Secure 关键 zero-day 漏洞
2024-01-23
Cloudflare 于 2024 年 1 月 17 日发布了紧急规则，专门解决了这两个漏洞，为不利用 AI 模型的客户在应对这些威胁方面提供了巨大优势...
HTTP/2 Rapid Reset：解构这场破纪录的攻击
2023-10-10
这篇文章深入探讨了 HTTP/2 协议的详细信息、攻击者利用来实施这些大规模攻击的功能，以及我们为确保所有客户受到保护而采取的缓解策略...
更多帖子
2023年10月10日 12:02
HTTP/2 Zero-Day 漏洞导致破纪录的 DDoS 攻击
“HTTP/2 Rapid Reset”攻击利用 HTTP/2 协议中的弱点来生成巨大的超容量 DDoS 攻击。近几个月来，Cloudflare 缓解了一系列此类攻击，其中包括一起比我们之前观察到的任何攻击规模大三倍的攻击...
- 作者
2023年8月04日 18:29
揭秘 2022 年最常被利用的漏洞
在本报告中，我们回顾了 Cloudflare 根据 CISA 提供的 2022 年最常被利用的漏洞的数据...
- 作者
2023年1月31日 14:00
CVE-2022-47929：流量控制 noqueue 没有问题？
在 6.1.6 之前的 Linux 内核中，流量控制子系统中的一个空指针解引用 bug 允许非特权用户通过用“tc qdisc”和“tc class”命令设置的精心设计的流量控制配置触发拒绝服务(系统崩溃)...
- 作者
2022年11月02日 09:31
Cloudflare 不受 OpenSSL 漏洞 CVE-2022-3602 和CVE-2022-3786 影响
CVE-2022-3602 和 CVE-2022-3786 相关信息，以及 Cloudflare 不受影响的原因...
- 作者
2022年5月26日 13:17
Cloudflare 处理 BMC 漏洞的方法
Cloudflare 处理固件漏洞的方法以及我们如何保护内部数据...
- 作者
2022年3月29日 15:51
CVE-2022-1096：Cloudflare Zero Trust 如何为浏览器提供零日漏洞保护
CVE-2022-1096 是另一个影响 Web 浏览器的零日漏洞。Cloudflare Zero Trust 缓解了浏览器中的零日攻击风险，已安装补丁...
- 作者
2021年12月15日 13:56
防御另一个 Log4j RCE 漏洞 CVE-2021-45046
继 CVE-2021-44228 之后，已提交了第二个 Log4J CVE：CVE-2021-45046。我们之前针对 CVE-2021-44228 发布的规则针对这个新的 CVE 提供相同级别的保护...
- 作者
2021年12月14日 17:48
Log4j CVE-2021-44228 漏洞被公开披露前的攻击利用以及规避与泄漏演变
在此博客帖文中，我们将介绍全球出现的 WAF 规避模式和泄露企图，有关漏洞利用企图的趋势数据，以及有关我们在 CVE-2021-44228 公开披露之前看到的漏洞利用的信息。...
- 作者
2021年12月14日 10:23
清理 Cloudflare 日志以保护客户免受 Log4j 漏洞影响
2021 年 12 月 9 日，CVE-2021-44228这种零日漏洞利用在全球曝光。该漏洞会影响 Apache Log4j 实用工具。Cloudflare 立即更新了我们的 WAF，以帮助防御该漏洞，但我们建议客户尽快更新其系统...
- 作者
2021年12月10日 23:39
Cloudflare 如何安全应对 Log4j 2 漏洞
在 Cloudflare，当我们得知一个新的安全漏洞时，我们会迅速召集各个团队，设法回答两个不同的问题：(1) 我们可以采取什么措施来确保客户的基础结构受到保护，以及 (2) 我们可以采取什么措施来确保我们自己的环境是安全的。昨天，即 2021 年 12 月 9 日，...
- 作者
2021年12月10日 21:06
在自然环境中捕获的实际 CVE-2021-44228 有效负载
我在之前写过如何缓解 Log4j 中的 CVE-2021-44228，该漏洞是如何产生，以及 Cloudflare 为我们的客户提供的缓解措施。在我写作本文时，鉴于该漏洞的严重性，我们同时还在推出针对我们的免费客户的保护。...
- 作者
2021年12月10日 18:36
Log4j2 漏洞详解 (CVE-2021-44228)
昨天，即 2021年 12 月 9 日，在流行的基于 Java 的日志记录程序包 Log4j 中发现一个非常严重的漏洞。该漏洞允许攻击者在远程服务器上执行代码；也就是所谓的远程代码执行 (RCE)。由于 Java 和 Log4j 被广泛使用，这很可能是自 Heartbleed 和 ShellShock 以来互联网上最严重的漏洞之一。...
- 作者
2021年12月10日 11:39
CVE-2021-44228 - Log4j RCE 零日漏洞缓解
零日漏洞利用会影响流行的 Apache Log4j 实用工具 (CVE-2021-44228)，于 2021 年 12 月 9 日该漏洞被发现，该漏洞会导致远程代码执行 (RCE)。...
- 作者
2018年4月24日 22:31
BGP泄漏与加密货币
在过去的几个小时里，已经有十几个新闻报道揭露了有攻击者企图（也许已经完成了）使用BGP泄漏来窃取加密货币。...
- 作者
2018年2月27日 14:38
Memcrashed - 来自UDP端口11211的主要放大攻击
在过去的几天里，我们观察到隐蔽的放大攻击向量的频次大幅增加，这些放大攻击使用了来自UDP端口11211 的memcached协议。之前我们已经谈论过很多关于互联网上放大攻击的话题。我们最近关于这个主题的两篇博文是：...
- 作者