漏洞

2024 年至 2025 年间，我们对针对 Workers 基础设施的远程 Spectre 攻击进行了重新评估。本文分享了 Spectre gadget、远程计时器、共同部署等新型攻击原语的详情，以及进一步强化 Cloudflare Workers 的新防御措施。

Martin Schwarzl和Albert Pedersen

全新 Cloudflare Web and API Vulnerability Scanner 帮助团队主动发现逻辑缺陷。使用 AI 构建 API 调用图，我们可以识别标准防御工具未识别的漏洞。

John Cosgrove、Alex Povel和Malte Reddig

我们正通过运用最新的软件和硬件特性，持续强化 Cloudflare Workers。我们使用纵深防御措施，包括 V8 沙箱和 CPU 的内存保护密钥，确保您的数据安全。

Erik Corry和Ketan Gupta

Cloudflare 修补了通过其漏洞悬赏计划报告的一个 mutual TLS (mTLS) 漏洞 (CVE-2025-23419)。会话恢复中的缺陷导致客户端证书无法跨不同区域正确地进行身份验证

Matt Bullock、Rushil Mehra和Alessandro Ghedini

Workers AI 和 AI Gateway 团队最近与本古里安大学的安全研究人员密切合作，通过我们的公共漏洞悬赏计划提交了一份研究报告。通过这个流程，我们发现并完全修补了一个可能会影响所有大型语言模型 (LLM) 提供商的漏洞。以下是完整的内容

Celso Martinho和Michelle Chen

“HTTP/2 Rapid Reset”攻击利用 HTTP/2 协议中的弱点来生成巨大的超容量 DDoS 攻击。近几个月来，Cloudflare 缓解了一系列此类攻击，其中包括一起比我们之前观察到的任何攻击规模大三倍的攻击

Grant Bourzikas

这篇文章深入探讨了 HTTP/2 协议的详细信息、攻击者利用来实施这些大规模攻击的功能，以及我们为确保所有客户受到保护而采取的缓解策略

Lucas Pardue和Julien Desgats

在本报告中，我们回顾了 Cloudflare 根据 CISA 提供的 2022 年最常被利用的漏洞的数据

Himanshu Anand、Sabina Zejnilovic和Daniele Molteni

在 6.1.6 之前的 Linux 内核中，流量控制子系统中的一个空指针解引用 bug 允许非特权用户通过用“tc qdisc”和“tc class”命令设置的精心设计的流量控制配置触发拒绝服务(系统崩溃)

Frederick Lawler

CVE-2022-3602 和 CVE-2022-3786 相关信息，以及 Cloudflare 不受影响的原因

Evan Johnson和Michal Melewski

Cloudflare 处理固件漏洞的方法以及我们如何保护内部数据

Derek Chamorro和Rebecca Weekly

CVE-2022-1096 是另一个影响 Web 浏览器的零日漏洞。Cloudflare Zero Trust 缓解了浏览器中的零日攻击风险，已安装补丁

Tim Obezuk

继 CVE-2021-44228 之后，已提交了第二个 Log4J CVE：CVE-2021-45046。我们之前针对 CVE-2021-44228 发布的规则针对这个新的 CVE 提供相同级别的保护

Gabriel Gabor和Andre Bluehs

在此博客帖文中，我们将介绍全球出现的 WAF 规避模式和泄露企图，有关漏洞利用企图的趋势数据，以及有关我们在 CVE-2021-44228 公开披露之前看到的漏洞利用的信息。

John Graham-Cumming和Celso Martinho

在 Cloudflare，当我们得知一个新的安全漏洞时，我们会迅速召集各个团队，设法回答两个不同的问题：(1) 我们可以采取什么措施来确保客户的基础结构受到保护，以及 (2) 我们可以采取什么措施来确保我们自己的环境是安全的。昨天，即 2021 年 12 月 9 日，

Rushil Shah和Thomas Calderon

我在之前写过如何缓解 Log4j 中的 CVE-2021-44228，该漏洞是如何产生，以及 Cloudflare 为我们的客户提供的缓解措施。在我写作本文时，鉴于该漏洞的严重性，我们同时还在推出针对我们的免费客户的保护。

John Graham-Cumming

昨天，即 2021年 12 月 9 日，在流行的基于 Java 的日志记录程序包 Log4j 中发现一个非常严重的漏洞。该漏洞允许攻击者在远程服务器上执行代码；也就是所谓的远程代码执行 (RCE)。由于 Java 和 Log4j 被广泛使用，这很可能是自 Heartbleed 和 ShellShock 以来互联网上最严重的漏洞之一。

John Graham-Cumming

零日漏洞利用会影响流行的 Apache Log4j 实用工具 (CVE-2021-44228)，于 2021 年 12 月 9 日该漏洞被发现，该漏洞会导致远程代码执行 (RCE)。

Gabriel Gabor和Andre Bluehs