Cloudflare 修复容器跨租户数据泄露：存储层块分配器优化跳过清零导致残留

Cloudflare 披露其 Containers 平台存在跨租户数据泄露漏洞，允许付费账户客户恢复同一主机上其他客户容器遗留的磁盘块。该问题源于底层存储分配器的配置组合，而非虚拟机边界失效。受影响的资源池使用了 64 KiB 的精简块大小并启用了 skip_block_zeroing 选项，导致新分配的物理块在对外暴露前未被清空，残留了之前容器的数据。研究人员在生产环境中成功恢复了目录结构、数据库页及完整的 SQLite 数据库。

漏洞的具体机制在于向未映射区域写入单个 4 KiB 块时，dm-thin 从共享资源池分配一个 64 KiB 的物理块，剩余空间保留旧数据。尽管 Cloudflare 迅速修复并移除了 skip_block_zeroing 选项，但清理已映射块需要停用运行中的容器磁盘、重启虚拟机并清空镜像缓存，整个修复周期持续至 9 月 19 日完成。检测分析显示，仅有授权验证活动符合攻击特征，未发现恶意利用证据。

行业推论是隔离保障范围必须覆盖块分配器等底层组件，不能仅依赖架构层面的“隔离”声明或虚拟机边界。此次事件发生在微软发布 Azure Container Apps Sandboxes 和谷歌发布 GKE Pod 快照基准测试的背景下，凸显了共享基础设施中存储层残留数据的风险。事实为存储层配置缺陷导致数据残留；推断为现有云隔离测试往往忽略块复用时的清零检查；猜测为类似性能优化选项可能在其他云厂商的存储系统中同样存在，需独立验证。