CloudflareのWARPがTor経由で実IPを漏洩させていた実例

apiVersion: "v1"
protocol: "http"
address: ":11434"
description: "Ollama LLM inference server"
commands:
  - regex: "^/api/tags$"
    handler: |
      {"models":[{"name":"llama3:latest","model":"llama3:latest",
      "modified_at":"2024-12-15T10:30:00Z","size":4661211808,
      "digest":"sha256:abc123","details":{"format":"gguf",
      "family":"llama","parameter_size":"8.0B",
      "quantization_level":"Q4_0"}}]}
    headers:
      - "Content-Type: application/json"
    statusCode: 200
  - regex: "^/api/version$"
    handler: '{"version":"0.5.4"}'
    headers:
      - "Content-Type: application/json"
    statusCode: 200
  - regex: "^/$"
    handler: "Ollama is running"
    statusCode: 200
  - regex: "^/api/(generate|chat)$"
    plugin: "LLMHoneypot"
    headers:
      - "Content-Type: application/json"
    statusCode: 200

Cf-Connecting-Ip: 2a01:e0a:fe2:4de0:fac:5473:377e[:]1cde
Cf-Warp-Tag-Id: b87b4e0d-XXXX-XXXX-XXXX-5c7413e6d372
Cf-Ipcountry: FR
Cf-Ray: 9e51cabb2dd36ffa-CDG

ハニーポットが捕捉した内容

埋め込みリクエスト（フェーズ2）

xdash-client/1.0のセッションは、model: nomic-embed-textを指定した/api/embed宛てのPOSTリクエストを送信していました。リクエストボディに含まれていたのは、テスト用の文字列ではなく、実在するコンテンツでした。

4,093文字からなるソフトウェア開発者の履歴書が、複数回にわたって送信されていました。この履歴書には検証可能な個人識別情報（氏名、GitHubプロフィール、学歴、職歴）が含まれており、OSINT調査により本人の実在が確認されています。スター数や直近の職歴が含まれていないことから、履歴書は2019年〜2020年頃のものと見られます。これは合成されたテストコンテンツではなく、求人サイトからスクレイピングされたデータです。

{
  "model": "nomic-embed-text",
  "input": "[REDACTED] Senior Software Engineer... San Jose State University...
  Experience: [REDACTED large tech companies]... Open source:
  [REDACTED project name] (12K+ stars)... Skills: React, Node.js,
  TypeScript, Python, AWS, Docker, Kubernetes..."
}

それ以降のリクエストには、求人検索クエリと、求人情報の全文が含まれていました。

"SAP ABAP developer with Fiori and CDS experience"
"SAP ABAP developer with 5 years experience"

続いて、オーストラリアの求人情報が2件確認されました（メルボルンに拠点を置く企業で、うち1件はNV1セキュリティクリアランスを要求するものでした）。その間には、デバッグ用の文字列"test embedding provider path"も含まれていました。

このコンテンツのパターンは、訪問者が自分の所有物ではないエンドポイント上で、ベクトル類似度による求人マッチングシステムを構築しようとしていたことと一致します。

チャットセッション（フェーズ3）

家庭用接続からのセッションは/api/chatにアクセスしました。ハニーポットのLLMを用いた応答ハンドラーは、まずコマンドメニューを提示し、続いて認証情報を仕込み、9件のプロンプトにわたってデータベーススキーマを即興で生成していきました。捕捉された一連のやり取りの全体は以下の通りです。

Visitor: help
Server:  Available commands: GET /path, POST /path {json},
         env, dbquery "SQL", creds
Visitor: creds
Server:  AWS_ACCESS_KEY_ID=AKIA[REDACTED]
         AWS_SECRET_ACCESS_KEY=[REDACTED]
         DATABASE_URL=postgresql://[REDACTED]@db-primary.
         [REDACTED]:5432/[REDACTED]
         VAULT_TOKEN=hvs.[REDACTED]
Visitor: env
Server:  [Same credentials repeated as environment variables]
Visitor: SELECT table_name FROM information_schema.tables
         WHERE table_schema = 'public';
Server:  ["users", "orders", "shipments", "inventory", "invoices"]
Visitor: select * from orders
Server:  [5 rows with order_id, user_id, amount, status, created_at]
Visitor: SELECT * FROM orders
Server:  [Same result, case-corrected query]
Visitor: SELECT column_name FROM information_schema.columns
         WHERE table_name = 'orders';
Server:  [order_id, user_id, product_id, quantity, amount,
         status, created_at]
Visitor: SELECT column_name FROM information_schema.columns
         WHERE table_name = 'users';
Server:  [id, username, email, password_hash, created_at, updated_at]
Visitor: SELECT id, username, email, password_hash,
         created_at, updated_at FROM users;
Server:  [5 rows with bcrypt password hashes]

8.5分間で9件のプロンプトが送られました。LLMは、すべての応答を通じて一貫したテーブル名、カラムスキーマ、データ型を維持していました。このデータベースは実際には存在しません。information_schema.tablesからカラム列挙、そしてpassword_hashへと至る流れは、PostgreSQLに対する標準的な内部情報探索の手順です。あるクエリの先頭に空白が入っていたこと（" select * from orders"）は、手作業による入力であったことを裏付けています。

仕込まれた認証情報には、実際に機能するカナリア型のトリップワイヤーが含まれています。このAWSキーが実際にいずれかのAWS APIに対して使用された場合、アラートが発報される仕組みです。この訪問者に起因すると考えられるアラートは、現時点で記録されていません。

WARPがTorを無効化する仕組み

マネージドWARPは、CloudflareのエッジまでのWireGuardトンネルを構築します。GatewayプロキシがTLSを終端し、HTTPを検査した上で、転送前に属性情報を含むヘッダーを付与します。

次のホップがTorである場合は次のようになります。

Torは暗号化を行いながらTCPを中継します。各リレーは、前段のホップから受け取った暗号化されたバイト列しか目にすることができません。どのリレーもHTTPを解析したり内容を書き換えたりすることはありません。CloudflareのヘッダーはTCPペイロード内のバイト列にすぎず、3段の玉ねぎ暗号を経ても手つかずのまま残ります。

なりすましの可能性についての評価

Cf-Connecting-Ipは、受信側のTCP接続に対してCloudflareがサーバー側で設定するものであり、通信経路上で偽装することはできません。フィンランドのIPについては、10日前に直接接続してきた際にも独立して観測されています。フランスのIPv6アドレスはコンシューマー向けISPに属するものです。いずれも捏造されたものとは考えにくいものです。Cf-Ipcountryは実際のGeoIP情報と一致しており、Cf-Rayのデータセンター接尾辞も地理的な経路と符合しています。Cdn-Loopは、このリクエストがCloudflareを経由して処理されたことを裏付けています。

攻撃者のプロファイル

侵害指標（IOC）

ネットワークIOC

検知シグネチャ

- header_present: "Cf-Warp-Tag-Id"
  destination_not_cloudflare: true
  note: "WARP Gateway traffic on non-Cloudflare server"
- header_present: "Cdn-Loop"
  value_contains: "cloudflare"
  destination_not_cloudflare: true
  note: "Cloudflare loop header with no CF relationship"

検知ルール

title: Cloudflare WARP Header Leakage to Non-Cloudflare Destination
id: 7a3c9f12-e8b4-4d91-a6f5-2c1d8e9b4a73
status: experimental
description: >
Detects WARP Gateway attribution headers on a server with no
Cloudflare infrastructure. Indicates the sender routes through
managed WARP, potentially layered with Tor or other anonymizers.
references:
- https://isc.sans.edu/diary/32532
- https://honeypot.observer/blog/warp
author: honeypot.observer
date: 2026/04/06
tags:
- attack.command_and_control
- attack.t1071.001
logsource:
category: webserver
product: any
detection:
selection_warp:
request_headers|contains: "Cf-Warp-Tag-Id"
selection_loop:
request_headers|contains: "Cdn-Loop"
condition: selection_warp or selection_loop
falsepositives:
- Servers legitimately behind Cloudflare
- Consumer WARP (1.1.1.1) may not inject these headers
level: medium

主な調査結果

推奨事項

ハニーポット運用者向け

防御側向け

WARP利用者向け

MITRE ATT&CK

本調査の限界

本調査は1名の運用者、1つのセンサー、相関関係にある2つのセッションに基づくものです。Cf-Warp-Tag-Idが持続するという主張は、2つのIPにまたがる1つのUUIDに基づいています。統制された環境での再現実験は行っていません。コンシューマー向けWARPはこれらのヘッダーを付与しない可能性があります。Cloudflareは、このヘッダーのライフサイクルについて一切の文書を公開していません。

このメカニズムはアーキテクチャに起因するものであり、本件に固有のものではありません。TCP層での匿名化に先立ってHTTP層でヘッダーが付与される限り、提供元を問わずこの結果が生じます。

参考資料

本調査は、ポート11434でOllamaを模したBeelzebubセンサー上で観測されたものです。調査はhoneypot.observerによるものです。センサーのインフラに関する詳細は非公開としています。

• SANS ISC Diary 32532（Ullrich、2025年12月）: https://isc.sans.edu/diary/32532
• コンシューマー版WARPヘッダーのテスト（2023年）: https://github.com/szepeviktor/cloudflare-warp-http-headers
• Cloudflare HTTPヘッダーリファレンス: https://developers.cloudflare.com/fundamentals/reference/http-headers/
• Honeypot Observer: https://honeypot.observer/
• Beelzebubハニーポットフレームワーク: https://github.com/beelzebub-labs/beelzebub

翻訳元: https://beelzebub.ai/blog/catching-cloudflare-warp-leaking-real-ips-through-tor/