Cloudflare Containers·Sandboxes 교차 테넌트 데이터 노출 취약점, 수정 완료

핵심 요약

Cloudflare가 Containers와 이를 기반으로 하는 Sandboxes의 교차 테넌트 데이터 노출 취약점을 공개했습니다. 다른 고객이 사용했던 스토리지 블록의 잔여 데이터가 같은 호스트의 새 컨테이너에 재할당될 때 일부 노출될 수 있는 문제였으며, Cloudflare는 취약점 수정이 완료됐고 고객 측 추가 조치는 필요하지 않다고 명시했습니다. 또한 사용 가능한 과거 디스크 I/O 텔레메트리에서는 악의적 악용 증거를 확인하지 못했다고 밝혔습니다.

주요 변경

• 영향 대상은 Cloudflare Containers와 Containers 기반 Cloudflare Sandboxes입니다.
• 원인은 Linux device mapper thin provisioning의 skip_block_zeroing 설정으로, 재사용된 64 KiB 블록 일부에 이전 데이터가 남을 수 있었던 점입니다.
• Cloudflare는 2026년 9월 7일 06:13 UTC 수정 롤아웃을 완료했고, 9월 19일 15:03 UTC에는 사전 완화 시점의 캐시된 스냅샷 정리까지 완료했습니다.
• 특정 고객·워크로드·호스트·데이터를 선택해 노리는 방식은 아니었으며, 잔여 데이터가 항상 존재하는 것도 아니었다고 설명했습니다.

개발자 영향

Containers 또는 Sandboxes 사용자는 이 취약점 대응을 위해 별도 설정을 바꿀 필요가 없습니다. 다만 멀티테넌트 실행 환경에서 민감한 데이터를 처리하는 서비스라면 이번 공개 내용을 보안 검토 기록에 남기고, 자체 로그·비밀정보 노출 가능성 평가가 필요한지 내부 기준에 따라 점검하는 것이 적절합니다. Cloudflare는 현재 확보한 텔레메트리에서 연구자와 자사 검증 활동 외의 악용 정황은 찾지 못했다고 밝혔습니다.

발표 시각(KST): 2026년 9월 24일 · 세부 시각 미공개

원문 출처 보기 →