Este incidente, descubierto a través de una investigación proactiva, revela una sofisticada explotación de Spectre en el entorno de producción de Cloudflare Workers. La causa raíz es la naturaleza de la ejecución especulativa en las CPUs modernas, que deja rastros microarquitectónicos (como en la caché) que pueden ser explotados para filtrar información. A pesar de las defensas existentes como DyPrIs y el aislamiento a nivel de lenguaje (V8 isolates), la investigación demostró que un atacante podía superar estas salvaguardas.
La cascada de fallo se inició al combinar varios factores: la capacidad de co-localizar atacante y víctima en el mismo proceso del edge server, la explotación de un gadget Spectre de confusión de tipos especulativa para lecturas fuera de límites, la amplificación de señal mediante la política de reemplazo de caché PLRU, y el uso de un temporizador remoto ruidoso (WebSocket) que, con amplificación, fue suficiente para clasificar bits. Además, la capacidad de mantener un isolate vivo durante horas usando Durable Objects y mensajes keep-alive de WebSocket permitió eludir los límites de CPU y subrequests, y la detección de DyPrIs.
Las salvaguardas existentes fallaron por dos razones principales. Primero, DyPrIs solo aislaba un script después de que su invocación terminara. El truco de Durable Object mantuvo una única invocación abierta durante horas, permitiendo que la filtración se completara antes de que la detección se activara. Segundo, DyPrIs normalizaba las predicciones de rama erróneas por el número de accesos iTLB. El tráfico I/O pesado del temporizador remoto inflaba la actividad iTLB, haciendo que la relación normalizada cayera por debajo del umbral de detección, enmascarando el ataque como una carga de trabajo I/O-heavy normal. Esto subraya la dificultad de detectar ataques de canal lateral que manipulan métricas de rendimiento de formas inesperadas.