Cloudflare 已修复其 ACME 验证逻辑中的一项漏洞，该漏洞可能允许攻击者绕过安全检查并访问受保护的源站服务器。 Cloudflare 表示，其 ACME HTTP-01 验证流程中存在缺陷，问题出在Cloudflare 边缘节点对 /.well-known/acme-challenge/ 路径请求的处理方式上。该公司称，未发现该漏洞被恶意利用的迹象。 ACME 是一种用于让证书颁发机构验证域名所有权的协议。在 HTTP-01 验证方式下，CA 会访问一个包含一次性令牌的特定 URL；如果返回内容匹配，即可签发证书。按设计，该过程只应允许访问这一精确路径，而不能访问其他任何资源。...

HackerNews 编译，转载请注明出处： Cloudflare成为近期一系列Salesloft Drift泄露事件的最新受影响公司，这些事件是上周披露的一起供应链攻击的一部分。 这家互联网巨头于周二透露，攻击者获得了其用于内部客户案例管理和客户支持的Salesforce实例的访问权限，该实例包含104个Cloudflare API令牌。...

HackerNews 编译，转载请注明出处： Cloudflare成功拦截了峰值达11.5 Tbps的创纪录DDoS攻击，这是一场主要源自谷歌云的UDP洪水攻击，也是持续数周的攻击浪潮的一部分。 Cloudflare在X平台上宣布，其已拦截了有史以来最大规模的DDoS攻击，峰值达到11.5 Tbps。这场主要来自谷歌云的UDP洪水攻击，是持续数周攻击浪潮的一部分。...

HackerNews 编译，转载请注明出处： 俄罗斯互联网服务提供商（ISP）对受Cloudflare保护的网站实施访问限制，导致该国网络流量严重中断。美国互联网基础设施公司Cloudflare证实，自6月9日起实施的限流措施使俄罗斯用户无法正常访问依赖其平台的网站和服务。该公司内部数据显示，ISP将每次请求的数据传输量限制在仅16KB，...

HackerNews 编译，转载请注明出处： 网络基础设施服务商Cloudflare近日拦截了一次峰值达7.3Tbps的分布式拒绝服务（DDoS）攻击，再度刷新历史纪录。此前Cloudflare拦截的最高纪录为5.6Tbps和6.5Tbps攻击，而网络安全博主布莱恩·克雷布斯（Brian Krebs）上月报告其网站曾遭遇6.3Tbps攻击。...

R2网关工作程序认证示意图（图片来源：Cloudflare） 由于问题的性质以及Cloudflare服务的工作方式，这一错误配置并未立即显现，导致修复工作进一步延迟。

“R2可用性指标的下降是逐渐的，并非立即显而易见，因为之前凭证删除到存储基础设施的传播存在延迟，”Cloudflare在其事件报告中解释道。

“这导致我们最初发现问题存在延迟。...

HackerNews 编译，转载请注明出处： Cloudflare宣布，已关闭所有HTTP连接，现在仅接受api.cloudflare.com的安全HTTPS连接。 此举旨在防止未加密的API请求被发送，即使是意外发送的，也会在服务器关闭HTTP连接并重定向到安全通信通道之前，消除敏感信息在明文流量中暴露的风险。...

HackerNews 编译，转载请注明出处： Cloudflare 在其 R2 对象存储平台中试图封堵一个网络钓鱼 URL 时出现失误，引发了一场大规模故障，导致多个服务在近一个小时内瘫痪。 Cloudflare R2 是一种类似于亚马逊 S3 的对象存储服务，旨在提供可扩展、耐用且低成本的数据存储。它提供免费的数据检索、S3 兼容性、跨多个地点的数据复制以及 Cloudflare 服务集成。...

网站安全和托管服务提供商 Cloudflare 于上周六宣布，将对鹬鸵农场（Kiwi Farms，充斥大量有害内容的在线论坛）采取屏蔽措施。在官方博文中，鹬鸵农场过去两天“有针对性的威胁”有所增加，对人类生命构成了“直接威胁”。 Kiwi Farms（官方中文名“鹬鸵农场”）是一个臭名昭著的美国论坛，致力于寻找互联网上的“lolcows（指值得被取笑的人）”，他们喜欢寻找那些看起来脆弱容易内心敏感容易受伤的人当作目标，把作恶当作一场电子游戏，尽其所能地让受害者感到精神上的难以解脱，并以此为乐。...

根据Cloudflare在官方博客发布的说明，大约在 Twilio 遭到攻击的同时， Cloudflare 的员工也遭到了具有非常相似特征的攻击 ，有至少 76 名员工的个人或工作手机号码收到了钓鱼短信，一些短信也发送给了员工的家人。虽还无法确定攻击者是以何种方式收集到了员工手机号码，...