Cloudflare'i tõrge Lua keele koodi probleemide tõttu

Kaks nädalat pärast eelmises globaalset tõrget on eile Cloudflare’i sisu edastamise võrk, mis teenindab umbes 20% kogu maailma veebiliiklust, olnud 25 minutiks osaliselt kättesaamatu. Tõrke ajal lõpetas umbes kolmandik Cloudflare'i kaudu saadetud päringutest tühja lehe tagastamisega, millel oli 500 vigakood. Seekord oli põhjuseks aastaid tähelepanuta jäänud probleem Lua keeles olevas koodis, mida kasutatakse WAF-i (veebirakenduste tulemüür) liikluse filtreerimiseks pahatahtlike päringute blokeerimiseks.

Kliendi süsteemide kaitsmiseks kriitilise haavatavuse (CVE-2025-55182) eest React raamistikus olevates serverikomponentides, pärast avalikkuse ette jõudnud eksploitide ilmumist, kehtestas Cloudflare'i inseneride meeskond kaitse WAF tasandil. Kaitse rakendamine ei sujunud murevabalt: rakendamise käigus suurendati proxy-liikluse kontrollimise jaoks puhversalti suurust,serverites, kuid selgus, et WAF-i testitööriist ei toeta seatud puhversalti suurust. Kuna see tööriist ei mõjuta liiklust, otsustati see välja lülitada.

Väljalülitamiseks kasutasid insenerid "killswitch" alamsüsteemi, et kiiresti muuta konfiguratsiooni ja deaktiveerida eraldi Lua töötlejad proxy-serverites ilma reeglite asendamata. Sellist reeglite väljalülitamise meetodit rakendatakse aeg-ajalt vigade kiireks parandamiseks ja see toob kaasa osa Lua-koodi täitmise vahelejätmise. Samas ei arvestanud insenerid, et Lua-reeglites väljalülitatava testitööriista kutsumiseks kasutati "execute" meetodit, mis käivitab täiendava reeglite komplekti. Varem ei ole "killswitch" režiimi kunagi rakendatud reeglitega, kus on "execute" kutse, ja seda kombinatsiooni ei testitud.

Käivitamine "killswitch" tõi kaasa selle, et täiendava testereeglite komplekti määramine lülitati välja, kuid selle reeglikomplekti väljakutset "execute" ei eemaldatud. Koodis ei olnud täiendavaid objekti olemasolu kontrollimisvahendeid ja eeldati, et kui reeglikomplektis on tegevus "execute", siis objekt "rule_result.execute" eksisteerib kindlasti. Tulemuseks oli katse käivitada meetodit "execute" mitte-initsialiseeritud objekti jaoks, mis tõi kaasa töötleja kokkuvarisemise vea "katse indekseerida välja ‘execute’ (nil väärtus)". if rule_result.action == "execute" then rule_result.execute.results = ruleset_results[tonumber(rule_result.execute.results_index)] end

Allikas: opennet.ru