偷偷加入抓漏競賽的丹麥學生找到Cloudflare未上市服務漏洞

一名丹麥學生未獲邀請偷偷參加Cloudflare抓漏方案，但並未因此受罰，反而因在尚未上市的服務找到漏洞，獲得6,000美元的報酬。

Cloudflare去年9月公布 Email Routing服務不公開測試版（private beta），只邀請少數使用者及研究人員試用，只有特定網域獲准存取這項服務。年輕的丹麥安全研究人員Albert Pedersen坦承自己並未受邀，於是決定自己偷偷參加。在利用工具擷取變造了向Cloudflare網頁發送的呼叫後，他意外通過Cloudflare伺服器端的驗證，成功加入封閉測試，並在其網域上設立了Email Routing服務。

而這也正是他發現漏洞的時候。他在其Cloudflare帳號下，以主要Gmail郵件信箱設立Cloudflare Email Routing服務，以其作為郵件轉寄的目的地信箱。正常情況下，一個Cloudflare帳號只能將該服務設立在一個網域上，因為該網域已獲得驗證。但是同一個網域在不同帳號下則可以是未經驗證的狀態。

在完成第1個合法信箱的註冊後，他又以同一網域，以另一個（尚未驗證的）電子郵件信箱註冊為Email Routing服務的目的地信箱。結果研究人員發現，寄向第1個合法帳號的郵件流向了第2個信箱。而第1個信箱的郵件路由設定，則被第2次信箱設定覆寫掉。

這意謂著，攻擊者可以藉由這個漏洞，註冊和受害者相同的電子郵件信箱，將郵件導向自己的信箱，可以阻止郵件送到受害者手上，讀取其信件，也可以變更信箱密碼而接管該信箱。

研究人員在去年12月7日透過抓漏平臺HackOne通報漏洞，2天後，Cloudflare就修補了這項漏洞。 根據HackerOne上的資訊，Pedersen因此項發現獲得3,000美元的抓漏獎金，不過上周他的獎金又提高為6,000美元。

這項服務還未上市，目前是公開測試版階段，Cloudflare表示本漏洞沒有遭到開採。