Krasch i Cloudflare på grund av ett problem med Lua-kod

Två veckor efter den senaste globala störningen var Cloudflares nätverk för innehållsleverans, som hanterar cirka 20 % av världens webben, delvis otillgängligt i 25 minuter igår. Under incidenten avslutades ungefär en tredjedel av begärningarna via Cloudflare med en tom sida som visade felkod 500. Denna gång var orsaken ett problem i Lua-koden, som hade förblivit osett i flera år, i systemet för trafikfiltrering WAF (Web Application Firewall) som blockerar skadliga begärningar.

För att skydda kundsystem från en kritisk sårbarhet (CVE-2025-55182) i serverkomponenterna av React-ramverket, implementerade Cloudflares ingenjörer ett skydd på WAF-nivå efter att ett exploit blev offentligt tillgängligt. Införandet av skyddet gick dock inte helt smidigt: under implementeringen ökades buffertstorleken för trafikgranskning på proxy-servrar, men det visade sig att det verktyg som användes för att testa WAF inte stödjer den angivna buffertstorleken. Eftersom detta verktyg inte påverkar trafiken beslutades det att stänga av det.

För att stänga av det använde ingenjörerna subsystemet "killswitch" för att snabbt ändra konfigurationen och inaktivera vissa Lua-hanterare på proxyservrar utan att byta regler. En sådan metod för att stänga av regler används ibland för att snabbt åtgärda fel och resulterar i att en del Lua-kod inte körs. Ingenjörerna beaktade inte att metoden "execute" användes för att anropa det avstängda testverktyget i Lua-reglerna, vilket startar en ytterligare uppsättning regler. Tidigare har "killswitch"-läget aldrig använts med regler som har anropat "execute", och denna kombination har inte testats.

Användningen av "killswitch" ledde till att koden för definiering av en extra testuppsättning av regler avaktiverades, men anropet av denna uppsättning regler via "execute" kvarstod. I koden fanns inga ytterligare kontroller för existensen av objektet och det antogs att om handlingen "execute" fanns i uppsättningen av regler, så existerade objektet "rule_result.execute" nödvändigtvis. Resultatet blev ett försök att utföra metoden "execute" för ett oinitialiserat objekt, vilket ledde till att behandlaren avslutades med felet "attempt to index field ‘execute’ (a nil value)". if rule_result.action == "execute" then rule_result.execute.results = ruleset_results[tonumber(rule_result.execute.results_index)] end

Källa: opennet.ru