Fluent Bit biztonsági sebezhetőségek

Egy kutatás öt súlyos biztonsági hibára tárt fel a Fluent Bitben, egy széles körben elterjedt, nyílt forráskódú telemetriai ügynökben. Összeláncolva ezek a gyengeségek több lehetőséget kínálnak a fenyegetések szereplőinek a felhőeszközök feletti irányítás átvételére, a naplók integritásának megzavarására vagy a szolgáltatások elérhetőségének megzavarására a felhő- és Kubernetes-környezetekben.

Hogyan használhatják ki a támadók a hibákat

A feltárt hibák együttesen utat nyitnak a hitelesítés megkerülésének, a fájlmanipulációnak, a távoli kódfuttatásnak, a szolgáltatásmegszakításnak és a címkék manipulálásának. Fegyverként felhasználva a behatoló képessé válik a naplók manipulálására, a rosszindulatú tevékenységek elfedésére, a hamis telemetria befecskendezésére és a felhőinfrastruktúra mélyebb behatolására.

Az azonosított CVE-k lebontása

A következő sebezhetőségek szemléltetik, milyen széles támadási felületet jelent a Fluent Bit megbízhatatlan bemeneti feldolgozása:

• CVE‑2025‑12972 – Útvonalbejárási gyengeség, amely a fájlnevek generálásához használt, nem ellenőrzött címkeértékekhez kapcsolódik. Ez a rendszereket tetszőleges fájlírásnak, naplómanipulációnak és potenciális kódfuttatásnak teszi ki.
• CVE‑2025‑12970 – Verempuffer-túlcsordulás a Docker Metrics bemeneti bővítményben (in_docker). A túl hosszú nevű konténerek létrehozása összeomlást okozhatott, vagy távoli kódfuttatást eredményezhetett.
• CVE‑2025‑12978 – Logikai hiba a címkeegyeztetésben, amely lehetővé teszi hamisított megbízható címkék létrehozását azáltal, hogy csak a Tag_Key kezdőbetűjét találja ki, így a támadók átirányíthatják a naplókat, megkerülhetik a szűrést és manipulált rekordokat injektálhatnak.
• CVE‑2025‑12977 – A támadó által vezérelt mezőkből származó címkék nem megfelelő ellenőrzése. A rosszindulatú bevitel bejárható szekvenciákat, sortöréseket vagy vezérlőkaraktereket adhat be, amelyek megrongálhatják a további naplózási folyamatokat.
• CVE‑2025‑12969 – Hiányzó hitelesítés a Forward protokollon keresztül kommunikáló Fluent Bit példányok által használt in_forward bővítményben. Ez a hiányosság hamisított naplók befecskendezését vagy a downstream biztonsági eszközök elárasztását kitalált eseményekkel teszi lehetővé.

A felhőműveletekre gyakorolt lehetséges hatás

Ezek a sebezhetőségek együttesen széleskörű befolyást biztosítanak arra, hogyan gyűjti, dolgozza fel és tárolja a Fluent Bit a telemetriai adatokat. Egy elszánt támadó átirányíthatja vagy elnyomhatja a lényeges eseményeket, félrevezető információkat helyezhet el, törölheti a behatolás jeleit, vagy rosszindulatú kód végrehajtását indíthatja el manipulált naplók segítségével. A Fluent Bit széles körű elterjedése miatt ezek a kockázatok veszélyeztetik a vállalati felhőkörnyezetek megbízhatóságát és naplózási infrastruktúrájuk hitelességét.

Javítások és szállítói útmutató

A problémákat az összehangolt közzétételt követően megoldották, a javításokat a Fluent Bit 4.1.1-es és 4.0.12-es verzióiban biztosították, amelyek 2025 októberében jelentek meg. Az AWS, amely szintén részt vett a közzétételi folyamatban, azt tanácsolja minden Fluent Bitet használó ügyfélnek, hogy a védelem megőrzése érdekében azonnal frissítsenek.

Biztonsági ajánlások

A kitettség csökkentése és a monitorozási folyamatok megerősítése érdekében a szakértők a konfiguráció szigorítását és a támadási felületek korlátozását javasolják. A legfontosabb védekező intézkedések a következők:

Kerülje a dinamikus címkék használatát az útvonalválasztáshoz, és korlátozza a kimeneti útvonalakat, hogy megakadályozza a címkék által vezérelt útvonal-bővítést vagy -bejárást.

Konfigurációs könyvtárakat, például a /fluent-bit/etc/-et, írásvédettként kell csatolni, futásidejű manipulációt blokkolni, és a Fluent Bitet nem root fiókkal futtatni.

Kontextus korábbi felfedezésekből

Ez a bejelentés egy korábbi, több mint egy évvel korábban jelentett Fluent Bit sebezhetőséget követ: a CVE‑2024‑4323, más néven Linguistic Lumberjack. Ez a hiba az ügynök beépített HTTP-kiszolgálóját érintette, és a példányokat szolgáltatásmegtagadási (DoS) feltételeknek, adatszivárgásnak vagy távoli kódfuttatásnak tette ki. Az újonnan azonosított problémák aláhúzzák a felhőalapú megfigyelhetőség alapját képező telemetriai eszközök biztonságossá tételének folyamatos fontosságát.