应用科学大学的Hoai Vietuan、Luigi Lo Iacono和TH Köln大学的Hannes Federath在一篇论文中披露了缓存中毒拒绝服务攻击的三个漏洞。这些攻击类似于去年在DEFCON上提出的缓存中毒攻击。针对这些攻击，我们的博客文章详细描述了什么是缓存中毒攻击是。大多数客户不必采取任何措施来保护自己不受新披露的漏洞的影响。如果您是运行未修补版本的Microsoft IIS的Cloudflare客户，并且在源服务器上启用了请求筛选，或者通过使用Cloudflare Workers强制缓存了HTTP响应代码400，则建议您进行一些配置更改。我们没有看到有人试图利用本文中描述的漏洞进行攻击纸张。维护我们的内容缓存基础架构的完整性以及确保我们的客户能够快速、可靠地向其访问者提供他们期望的内容，这对我们来说至关重要。在实践中，Cloudflare确保缓存为它们应该分为两部分的内容提供服务方法：我们建立我们的缓存基础设施将以符合行业标准的方式运行标准。我们积极地为我们的缓存逻辑添加防御措施，以保护客户免受常见的缓存陷阱的影响。我们将我们的工作视为尽可能解决客户问题，即使这些问题与使用Cloudflare没有直接关系。在我们如何处理之前发现的缓存攻击技术中可以找到这种理念的例子。本文中披露的三种攻击概述以及Cloudflare如何处理它们：HTTP头方法重写（HMO）：影响：一些web框架支持头重写HTTP请求中发送的HTTP方法。例如：用X-HTTP-Method:POST发送的GET请求将被源代码视为POST请求（这不是一个标准，但很多框架都支持它）。攻击者可以利用此行为潜在地诱使CDN缓存中毒的内容内容。缓解：我们将以下方法重写标头作为包含标头的请求的客户缓存键的一部分。这可以确保使用存在标头的请求不会毒害没有标头的请求的缓存内容。请注意，Cloudflare不会将这些头解释为实际的方法重写（即，上面示例中的GET请求在我们的眼中仍然是一个GET请求）。我们将头视为这个缓存键修改逻辑的一部分是：1)X-HTTP-Method-Override2）X-HTTP-Method3）X-Method-OverrideOversized HTTP Headers（HHO）：影响：攻击者向源服务器发送CDN通过的大标头，但这些标头太大，无法由源服务器处理。如果在这种情况下，源代码返回一个共享缓存认为可缓存的错误页，则可能导致后续的拒绝服务访客。缓解：Cloudflare默认情况下不缓存HTTP状态代码400响应，这是利用漏洞的作者调用的常见拒绝服务向量。一些CDN供应商确实缓存了400个响应，这就产生了由利用漏洞的作者发出的中毒向量。如果Cloudflare的客户在响应超大数据时发出了400个错误，那么Cloudflare客户永远不会受到攻击标题。The一个例外是特定情况下的Microsoft IIS。如果使用"headerLimits"配置指令为单个请求标头大小配置并超过限制，则未应用CVE-2019-0941安全更新的Microsoft IIS版本将返回HTTP 404响应。允许共享缓存缓存这些404响应。我们建议升级IIS或删除您的原点.HTTP元C角色：影响：基本上与超大HTTP标头相同的攻击，但该攻击使用元字符（如\r和\n）使源将错误返回给shared缓存。缓解：与超大HTTP头相同；Cloudflare不缓存400个错误默认值。输入除了上面列出的行为之外，Cloudflare的缓存逻辑还考虑到了源缓存控制头，这使得客户能够非常精确地控制我们缓存的行为。我们积极与客户合作，确保他们遵循避免缓存中毒攻击的最佳实践，并通过更智能的软件随时提供深度防御可能。我们期待着继续与安全界合作，解决那些被发现的问题，使互联网对每个人都更安全和安全。