Cloudflare añade una regla WAF de emergencia: revisa cobertura y excepciones

Cloudflare añadió el 14 de octubre una regla de bloqueo de emergencia a Cloudflare Managed Ruleset. La empresa explicó que respondía a la explotación activa de una vulnerabilidad de ejecución remota de código en frameworks web. Para el propietario de un sitio, el siguiente paso útil es comprobar qué conjunto de reglas y qué configuración lo protegen realmente.

El aviso de la versión no identifica los frameworks afectados, no enumera versiones vulnerables ni señala un parche del proveedor. Por tanto, no permite establecer si un sitio concreto es vulnerable. La afirmación sobre explotación activa corresponde a Cloudflare; no demuestra que el sitio de un lector determinado haya sufrido un ataque.

Confirma qué protección tienes

El aviso sitúa la nueva detección en Cloudflare Managed Ruleset, con la acción Block. La documentación de reglas administradas distingue ese conjunto de Free Managed Ruleset: Cloudflare Managed Ruleset, más amplio, está disponible en los planes Pro, Business y Enterprise.

No deduzcas que existe cobertura porque un dominio utilice los servidores de nombres de Cloudflare. Pide a quien administra la cuenta que confirme que el tráfico relevante pasa por la protección, que está desplegado el conjunto de reglas correcto y que no se ha modificado su acción efectiva.

Anota el nombre de host, el conjunto de reglas y la configuración revisados. Así, una tranquilidad genérica se convierte en algo que otro administrador puede comprobar. Si utilizas alojamiento administrado, pregunta qué partes de la aplicación y del recorrido del tráfico controla el proveedor.

La documentación de Cloudflare también explica que las excepciones y las modificaciones pueden cambiar qué reglas se ejecutan y qué hacen. Una excepción antigua creada para arreglar un formulario merece otra revisión si omite ampliamente las comprobaciones de seguridad de la aplicación.

Revisa la aplicación además del firewall

Un filtro situado delante de un sitio y una corrección de la aplicación son controles distintos. Este anuncio no indica una versión corregida que instalar, por lo que debes consultar los avisos oficiales del software que realmente utilizas. No elijas un parche suponiendo a qué framework sin identificar se refiere Cloudflare.

Mantén un inventario del CMS, los frameworks, los plugins y las aplicaciones personalizadas que se mantienen en el sitio. Esto permite actuar ante avisos posteriores: alguien podrá relacionar un producto y una versión identificados con un componente instalado, en lugar de empezar de memoria.

Si los registros de seguridad muestran solicitudes bloqueadas, consérvalas para investigarlas. Una solicitud bloqueada no demuestra por sí sola que se haya producido una intrusión. Del mismo modo, un informe sin actividad no constituye una evaluación completa de la aplicación. Traslada las pruebas de cambios o accesos no autorizados a la persona responsable de responder a incidentes.

Comprueba que la publicación habitual siga funcionando

Después de revisar la regla, prueba las acciones habituales de lectores y editores: abrir un artículo, iniciar sesión, guardar un borrador y enviar un formulario de prueba autorizado. Si se bloquea una acción legítima, reúne la información del evento y acota la investigación antes de modificar la protección.

Evita desactivar toda la protección como primer paso para resolver el problema. Identifica la solicitud afectada y revisa con el administrador la corrección más limitada que resulte adecuada.

Añade las comprobaciones de configuración y aplicaciones a la rutina de mantenimiento del sitio. Si nadie puede explicar quién se encarga de ellas, aclara esa responsabilidad antes de la próxima renovación o migración de alojamiento.