漏洞

Cloudflare 的 Web 應用程式防火牆現在可以將 HTTP 請求與其回應關聯起來。全面的交易偵測可協助每位客戶發現「僅檢查請求」時可能遺漏的成功攻擊利用、資料外洩以及高風險的錯誤設定。

Daniele Molteni、Elie Roudninski和Nick Downie

2024 年至 2025 年間，我們重新評估了針對 Workers 基礎架構的遠端 Spectre 攻擊。本文分享了 Spectre gadget、遠端計時器、共同部署等新型攻擊原語的詳情，以及進一步強化 Cloudflare Workers 的新防禦措施。

Martin Schwarzl和Albert Pedersen

Cloudflare 全新的 Web 和 API 漏洞掃描器可協助團隊主動發現邏輯缺陷。透過使用 AI 建立 API 呼叫圖，我們可以識別出標準防禦工具無法偵測到的漏洞。

John Cosgrove、Alex Povel和Malte Reddig

Cloudflare 修補了透過其漏洞懸賞計畫報告的 Mutual TLS (mTLS) 漏洞 (CVE-2025-23419)。工作階段繼續執行中的缺陷允許用戶端憑證不正確地

Matt Bullock、Rushil Mehra和Alessandro Ghedini

最近，Workers AI 和 AI Gateway 團隊與本·古里安大學的網路安全研究人員就我們「公開漏洞懸賞」活動中收到的一份報告展開了密切合作。透過此程序，我們發現並完全修補了一個影響所有 LLM 提供者的漏洞。下面是具體情況

Celso Martinho和Michelle Chen

本文將深入探討 HTTP/2 通訊協定、攻擊者用於發動這些大規模攻擊的功能，以及我們為確保所有客戶均受到保護而採取的緩解策略

Lucas Pardue和Julien Desgats

「HTTP/2 Rapid Reset」攻擊利用 HTTP/2 通訊協定中的弱點來產生巨大的超容量 DDoS 攻擊。近幾個月來，Cloudflare 緩解了一系列此類攻擊，其中包括一起比我們之前觀察到的任何攻擊規模大三倍的攻擊

Grant Bourzikas

在本報告中，我們回顧了 Cloudflare 關於 2022 年最常被利用漏洞（根據 CISA）的資料

Himanshu Anand、Sabina Zejnilovic和Daniele Molteni

在 6.1.6 之前的 Linux 核心中，流量控制子系統中的 NULL 指標取值錯誤可讓無權限使用者透過使用「tc qdisc」和「tc class」命令設定的特製流量控制設定，觸發阻斷服務（系統當機）

Frederick Lawler

有關 CVE-2022-3602 和 CVE-2022-3786 的資訊，以及 Cloudflare 未受到影響的原因

Evan Johnson和Michal Melewski

Cloudflare 處理韌體漏洞的方式，以及我們如何保護內部資料

Derek Chamorro和Rebecca Weekly

緊接著 CVE-2021-44228 之後，隨之發佈了第二個 Log4J CVE──CVE-2021-45046。對於這個新的 CVE，我們先前針對 CVE-2021-44228 發佈的規則也能夠提供相同等級的防護

Gabriel Gabor和Andre Bluehs

在此部落格文章中，我們將探討世界上常見的 WAF 規避模式與滲漏嘗試、所嘗試之漏洞利用的趨勢資料，以及我們在 CVE-2021-44228 公開揭露之前看到的漏洞利用相關資訊。

John Graham-Cumming和Celso Martinho

當 Cloudflare 知曉發生新的安全性漏洞時，我們快速將團隊集合起來回答二個不同問題：(1) 我們可以做什麼以確保我們客戶的基礎結構受到保護，以及 (2) 我們可以做什麼以確保我們自身環境安全

Rushil Shah和Thomas Calderon

我不久前曾寫到有關如何緩解 Log4j 中的 CVE-2021-44228、漏洞的緣由以及 Cloudflare 為客戶提供的緩解措施。正如我所寫到的，由於漏洞的嚴重性，我們正推出針對我們「免費」客戶的保護。

John Graham-Cumming

昨天，也就是 2021 年 12 月 9 日，公開了基於 Java 的熱門記錄套件 Log4j 中的一個嚴重漏洞。該漏洞允許攻擊者在遠端伺服器上執行代碼，即所謂的遠端代碼執行 (RCE)。由於 Java 和 Log4j 的廣泛使用，這可能是自 Heartbleed 和 ShellShock 出現以來，網際網路上最嚴重的漏洞之一。

John Graham-Cumming

2021 年 12 月 9 日，公開了一個會影響常用 Apache Log4j 公用程式的零時差漏洞 (CVE-2021-44228)，該漏洞利用可能導致遠端代碼執行 (RCE)。

Gabriel Gabor和Andre Bluehs

Cloudflare 已部署受管理規則，幫助客戶防範最近在 Microsoft Exchange Server 中發現的一系列可遠端利用的漏洞

Patrick R. Donahue和Gabriel Gabor