Cloudflare demuestra fuga remota entre Workers mediante Spectre y refuerza el aislamiento

Investigadores de Cloudflare revisaron las defensas de Workers y demostraron una lectura especulativa entre dos Workers controlados por ellos y ubicados en el mismo proceso. La prueba extrajo un token JWT bit a bit a una velocidad de hasta 12 bits por segundo con precisión superior al 99%.

El ataque encontró una limitación de Dynamic Process Isolation: la decisión de aislar un script se aplicaba al finalizar la invocación. Un objeto duradero mantenido vivo por WebSocket podía sostener una ejecución durante horas, suficiente para completar la fuga antes del aislamiento.

Cloudflare corrigió el problema reforzando DyPrIs, integrando el V8 Sandbox y añadiendo aislamiento dentro del proceso. Los clientes no deben aplicar un parche, pero los equipos que construyen plataformas serverless multiinquilino deberían revisar si sus límites de aislamiento dependen de detectar y mover cargas después de terminar una invocación.