كشفت Cloudflare عن نتائج إعادة تقييم لهجمات Spectre عن بُعد على منصة Cloudflare Workers، أجرتها خلال عام 2024 وبدايات 2025. وتمكن فريق البحث من بناء إثبات مفهوم عمل في بيئة الإنتاج، وتسريب بيانات من Worker ضحية إلى Worker مهاجم تحت سيطرة الباحثين بمعدل وصل إلى 12 بت في الثانية وبدقة تجاوزت 99%.
تؤكد الشركة أن الهجوم المعروض عولج في نظام الإنتاج عبر إجراءات اتخذها فريق Cloudflare Workers Runtime، وأنها لم تجد مؤشرات على استغلال نشط خلال السنوات الثلاث الماضية. ونُشرت النتائج في ورقة شارك في تأليفها Albert Pedersen وHaocheng Xiao وSam Ainsworth وNigel Topham وMartin Schwarzl.
لماذا يهم هذا البحث؟
تعتمد Workers على تشغيل JavaScript غير موثوق عند الحافة، إذ يمكن لعشرات الآلاف من المستأجرين مشاركة عملية واحدة لنظام التشغيل عبر عوازل V8. ولكل Worker كومة JavaScript منفصلة، ما يحسن زمن بدء التشغيل وكفاءة استضافة عدد كبير من المستأجرين، لكنه يعني أيضاً أن ثغرة قراءة عشوائية داخل العملية قد تفتح باباً لتسريب بيانات بين المستأجرين.
تستفيد هجمات Spectre من التنفيذ التخميني في المعالجات. فعندما يتوقع المعالج نتيجة فرع برمجي وينفذ تعليمات قبل التأكد منها، قد تُلغى النتائج لاحقاً، لكن آثاراً دقيقة تظل في الحالة المعمارية الدقيقة للمعالج، ومنها ذاكرة التخزين المؤقت. ويمكن للمهاجم استغلال فروق زمن الوصول إلى الذاكرة لاستنتاج بتات من بيانات لا يفترض أن يقرأها.
كانت Cloudflare قد أطلقت في 2021 دفاعاً إنتاجياً باسم Dynamic Process Isolation، أو DyPrIs، لعزل النصوص البرمجية التي تبدو خبيثة داخل عمليات منفصلة. لكن إعادة التقييم اكتشفت قيداً في آلية التنفيذ سمح للهجوم بالبقاء فعالاً فترة طويلة بما يكفي لتجاوز العزل.
كيف تغلب الهجوم على قيود Workers؟
تقيّد المنصة المؤقتات المحلية، ولا تسمح بالذاكرة المشتركة أو تعدد الخيوط، ولذلك لا تتوافر أساليب القياس التقليدية التي تعتمد على SharedArrayBuffer. عوضاً عن ذلك، استخدم الباحثون مؤقتاً بعيداً عبر اتصال WebSocket، واستفادوا من تضخيم الإشارة الناتجة عن أحداث ذاكرة التخزين المؤقت باستخدام سياسة الاستبدال tree-based PLRU في ذاكرة L1.
كما صمم الفريق نوعين من Spectre gadgets. الأول استُخدم لتسريب مؤشرات مضغوطة من الكومة، بما في ذلك عنوان أساس الكومة الخاص بالعازل. أما الثاني فاعتمد على التباس تخميني في النوع للوصول إلى مؤشر خام بعرض 64 بت، وهو ما أتاح تحويل التسريب إلى قراءة من عنوان تختاره الجهة المهاجمة. وفي وقت إجراء البحث، لم يكن V8 Sandbox قد طُبق بعد في Workers، وكانت TypedArray من الحالات التي تحتفظ بمؤشر خام إلى مخزنها الخلفي.
ولضمان قياسات قابلة للتكرار، أنشأ الباحثون مجموعات كبيرة من الكائنات تتجاوز سعة ذاكرة التخزين المؤقت، ثم اختاروا مواقع عشوائية في كل جولة بدلاً من البحث عن مجموعة إخلاء دقيقة لكل سطر ذاكرة. كذلك استُخدمت Durable Objects لإبقاء سياق تنفيذ طويل الأمد، فيما أتاحت رسائل WebSocket إعادة ضبط حدود وقت المعالجة والطلبات. وباستخدام فترات توقف دورية بين دفعات التنفيذ، أمكن إبقاء العازل نشطاً من خمس ساعات إلى أكثر من 20 ساعة.
ولتحقيق التجاور بين المهاجم والضحية، استدعى Worker المهاجم Worker الضحية عبر fetch، ما أدى في معظم الحالات إلى تشغيلهما في العملية نفسها على خادم الحافة نفسه. كما سمح هذا الأسلوب باستغلال فترات انخفاض الحمل في مراكز الحافة لزيادة استقرار القياسات.
ما الذي تغير عملياً في دفاعات Cloudflare؟
أدخلت Cloudflare عدة تعديلات بدلاً من الاعتماد على إجراء واحد. فقد أصبح V8 Sandbox جزءاً من طبقات الحماية، ويهدف إلى تقليل وجود المؤشرات الخام بعرض 64 بت في أجزاء كبيرة من كومة JavaScript. ويجعل ذلك بعض أدوات الالتباس التخميني المستخدمة في البحث أصعب من حيث إعادة الاستخدام، لكنه لا يمثل علاجاً كاملاً لهجمات Spectre، إذ قد تظهر أدوات أو أشكال أخرى تحقق وصولاً خارج حدود الذاكرة.
في سبتمبر 2025، نشرت الشركة عزلاً داخل العملية يعتمد على Memory Protection Keys، أو MPK. تقسم هذه التقنية الذاكرة إلى نطاقات حماية وتبدل حقوق الوصول إليها بكلفة منخفضة، بحيث تقف كومة كل عازل خلف حاجز تفرضه العتاد. ويمنع ذلك القراءة المباشرة بين أكوام العوازل التي اعتمد عليها الهجوم، لكنه لا يلغي جميع مخاطر Spectre؛ فعدد نطاقات الحماية محدود، كما يتطلب النظام إدارة دقيقة لحالة مفاتيح الحماية.
كما حسّنت Cloudflare آلية DyPrIs للتعامل مع عمليات التنفيذ طويلة الأمد وأحمال الإدخال والإخراج الكثيفة. فالانتظار حتى انتهاء الاستدعاء لعزل النص البرمجي لا يكفي عندما يمكن لاتصال WebSocket أو Durable Object إبقاء الاستدعاء مفتوحاً لساعات. وتبحث الشركة أيضاً في إضافة سلوك التوقيت البعيد إلى إشارات الكشف، خصوصاً عند تكرار عمليات شبيهة بالمؤقت حول أجزاء كثيفة الحساب، بدلاً من اعتبار حركة الشبكة المصاحبة ضجيجاً عادياً.
حدود النتيجة
أُجري الاختبار ضد Workers تسيطر عليها Cloudflare والباحثون، وليس كدليل على اختراق مستأجرين فعليين. كما أن معدل التسريب الأعلى جاء على حساب الدقة، وفق توضيح الشركة، ولم تُرصد مؤشرات على استغلال فعلي خلال السنوات الثلاث السابقة. لذلك تكشف النتائج عن قدرة هجومية قابلة للتنفيذ في نموذج العزل السابق، وعن أهمية الجمع بين عزل العمليات، وحماية الذاكرة المفروضة عتادياً، والكشف السلوكي المستمر.