Una vulnerabilidad zero-day crítica en el Firewall de Aplicaciones Web (WAF) de Cloudflare permitió a los atacantes eludir los controles de seguridad y acceder directamente a los servidores de origen protegidos a través de una ruta de validación de certificados. Investigadores de seguridad de FearsOff descubrieron que las solicitudes dirigidas al directorio /.well-known/acme-challenge/ podían alcanzar los orígenes incluso cuando las reglas del WAF configuradas por el cliente bloqueaban explícitamente todo el resto del tráfico.

Una vulnerabilidad crítica de día cero en el Firewall de Aplicaciones Web (WAF) de Cloudflare permitió a los atacantes eludir los controles de seguridad y acceder directamente a los servidores de origen protegidos a través de una ruta de validación de certificados.

Investigadores de seguridad de FearsOff descubrieron que las solicitudes dirigidas al directorio /.well-known/acme-challenge/ podían llegar a los orígenes incluso cuando las reglas del WAF configuradas por los clientes bloqueaban explícitamente todo el resto del tráfico.

El protocolo Automatic Certificate Management Environment (ACME) automatiza la validación de certificados SSL/TLS al requerir que las Autoridades de Certificación (CA) verifiquen la propiedad del dominio.

En el método de validación HTTP-01, las CA esperan que los sitios web sirvan un token de un solo uso en /.well-known/acme-challenge/{token}. Esta ruta existe en casi todos los sitios web modernos como una vía de mantenimiento silenciosa para la emisión automatizada de certificados.

El diseño pretendía limitar este acceso a un único bot de validación que verificara un archivo específico, no como una puerta abierta al servidor de origen.

Vulnerabilidad de día cero en Cloudflare

Los investigadores de FearsOff detectaron la vulnerabilidad mientras revisaban aplicaciones donde las configuraciones del WAF bloqueaban el acceso global y solo permitían fuentes específicas.

Las pruebas revelaron que las solicitudes dirigidas a la ruta de desafío ACME eludían por completo las reglas del WAF, permitiendo que el servidor de origen respondiera directamente en lugar de mostrar la página de bloqueo de Cloudflare.

Para confirmar que no se trataba de una mala configuración específica de un inquilino, los investigadores crearon hosts de demostración controlados en cf-php.fearsoff.org, cf-spring.fearsoff.org y cf-nextjs.fearsoff.org.

Las solicitudes normales a estos hosts encontraban páginas de bloqueo como se esperaba, pero las solicitudes a la ruta ACME devolvían respuestas generadas por el origen, típicamente errores 404 de los frameworks.

La vulnerabilidad surgió de la lógica de procesamiento de la red perimetral de Cloudflare para las rutas de desafío ACME HTTP-01. Cuando Cloudflare servía tokens de desafío para sus propias órdenes de certificados gestionados, el sistema desactivaba las funciones del WAF para evitar interferencias con la validación de la CA.

Sin embargo, surgió un fallo crítico: si el token solicitado no coincidía con una orden de certificado gestionada por Cloudflare, la solicitud eludía por completo la evaluación del WAF y procedía directamente al origen del cliente.

Este error lógico transformó una excepción estrecha de validación de certificados en un bypass de seguridad amplio que afectaba a todos los hosts protegidos por Cloudflare.

El bypass permitió a los investigadores demostrar múltiples vectores de ataque contra frameworks web comunes. En aplicaciones Spring/Tomcat, las técnicas de recorrido de rutas de servlet usando ..;/ accedieron a endpoints sensibles del actuador que exponían entornos de procesos, credenciales de bases de datos, tokens de API y claves en la nube.

Las aplicaciones de Next.js con renderizado del lado del servidor filtraron datos operativos a través de respuestas directas del origen que nunca estuvieron destinadas a ser accesibles desde internet público.

Las aplicaciones PHP con vulnerabilidades de inclusión de archivos locales se volvieron explotables, permitiendo a los atacantes acceder al sistema de archivos mediante parámetros de ruta maliciosos. Más allá de los ataques específicos de frameworks, las reglas del WAF a nivel de cuenta configuradas para bloquear solicitudes basadas en encabezados personalizados fueron completamente ignoradas para el tráfico de la ruta ACME.

FearsOff reportó la vulnerabilidad a través del programa de recompensas por errores de Cloudflare en HackerOne el 9 de octubre de 2025. Cloudflare inició la validación el 13 de octubre de 2025, y HackerOne clasificó el problema el 14 de octubre de 2025.

La compañía implementó una solución permanente el 27 de octubre de 2025, modificando el código para desactivar las funciones de seguridad solo cuando las solicitudes coincidieran con tokens válidos de desafío ACME HTTP-01 para el nombre de host específico.

Las pruebas posteriores a la solución confirmaron que las reglas del WAF ahora se aplican uniformemente en todas las rutas, incluyendo la ruta de desafío ACME previamente vulnerable. Cloudflare afirmó que no se requiere acción por parte de los clientes y confirmó que no se ha encontrado evidencia de explotación maliciosa.

Fuentes:
https://cybersecuritynews.com/cloudflare-zero-day-vulnerability/