Zranitelnosti zabezpečení Fluent Bit

Provedený výzkum odhalil pět závažných bezpečnostních problémů ve Fluent Bit, široce používaném telemetrickém agentu s otevřeným zdrojovým kódem. Pokud jsou tyto slabiny zřetězeny dohromady, poskytují útočníkům více cest k převzetí kontroly nad cloudovými aktivy, narušení integrity protokolů nebo narušení dostupnosti služeb v cloudovém prostředí a prostředí Kubernetes.

Jak by útočníci mohli zneužít chyby

Odhalené vady dohromady otevírají dveře k obcházení ověřování, manipulaci se soubory, vzdálenému spuštění kódu, narušení služeb a neoprávněným úpravám tagů. Pokud jsou zneužity jako zbraň, poskytují útočníkovi možnost poškozovat protokoly, maskovat škodlivou aktivitu, vkládat falešnou telemetrii a pronikat hlouběji do cloudové infrastruktury.

Rozdělení identifikovaných CVE

Následující zranitelnosti ilustrují, jak široký se stává povrch útoku, když Fluent Bit zpracovává nedůvěryhodné vstupy:

• CVE‑2025‑12972 – Slabost bránící v procházení cesty spojená s použitím neopravených hodnot tagů k generování názvů souborů. To vystavuje systémy riziku libovolného zápisu do souborů, manipulace s logy a potenciálního spuštění kódu.
• CVE‑2025‑12970 – Přetečení vyrovnávací paměti zásobníku ve vstupním pluginu Docker Metrics (in_docker). Vytváření kontejnerů s příliš dlouhými názvy by mohlo způsobit pád aplikace nebo mít za následek vzdálené spuštění kódu.
• CVE‑2025‑12978 – Logická chyba v porovnávání tagů, která umožňuje padělat důvěryhodné tagy uhádnutím pouze počátečního znaku Tag_Key, což útočníkům umožňuje přesměrovat protokoly, obejít filtrování a vkládat zmanipulované záznamy.
• CVE‑2025‑12977 – Nesprávné ověřování tagů odvozených z polí ovládaných útočníkem. Škodlivý vstup může vložit traversal sekvence, nové řádky nebo řídicí znaky, které poškozují následné protokolovací kanály.
• CVE‑2025‑12969 – Chybí ověřování v pluginu in_forward používaném instancemi Fluent Bit komunikujícími prostřednictvím protokolu Forward. Toto opomenutí umožňuje vkládání falešných protokolů nebo zahlcování bezpečnostních nástrojů následnými událostmi.

Potenciální dopad na cloudové operace

Tyto zranitelnosti dohromady poskytují rozsáhlý vliv na to, jak Fluent Bit shromažďuje, zpracovává a ukládá telemetrická data. Odhodlaný útočník může přesměrovat nebo potlačit důležité události, vložit zavádějící informace, vymazat známky narušení nebo spustit spuštění škodlivého kódu prostřednictvím manipulovaných protokolů. Vzhledem k širokému rozšíření Fluent Bit tato rizika ohrožují spolehlivost podnikových cloudových prostředí a důvěryhodnost jejich protokolovací infrastruktury.

Záplaty a pokyny dodavatelů

Problémy byly vyřešeny po koordinovaném zveřejnění a opravy byly poskytnuty ve verzích Fluent Bit 4.1.1 a 4.0.12, vydaných v říjnu 2025. Společnost AWS, která se také podílela na procesu zveřejnění, doporučuje všem zákazníkům používajícím Fluent Bit, aby si jej neprodleně aktualizovali, aby zůstali chráněni.

Bezpečnostní doporučení

Pro snížení expozice a posílení monitorovacích kanálů odborníci doporučují zpřísnění konfigurace a omezení útočných ploch. Mezi klíčová obranná opatření patří:

Vyhněte se používání dynamických tagů pro směrování a omezte výstupní cesty, abyste zabránili rozšiřování nebo procházení cest řízenému tagy.

Připojte konfigurační adresáře, jako například /fluent-bit/etc/, pouze pro čtení, blokujte manipulaci za běhu a spusťte Fluent Bit pod nerootovými účty.

Kontext z dřívějších objevů

Toto odhalení navazuje na předchozí zranitelnost Fluent Bit nahlášenou před více než rokem: CVE‑2024‑4323, známou také jako Linguistic Lumberjack. Tato chyba ovlivnila vestavěný HTTP server agenta a vystavila instance útokům DoS, úniku dat nebo vzdálenému spuštění kódu. Nově identifikované problémy podtrhují trvalý význam zabezpečení telemetrických nástrojů, které tvoří základ cloudové sledovatelnosti.