Vulnerabilità di sicurezza di Fluent Bit

Le ricerche condotte hanno portato alla luce cinque gravi problemi di sicurezza in Fluent Bit, un agente di telemetria open source ampiamente diffuso. Se concatenate, queste vulnerabilità offrono agli autori delle minacce molteplici possibilità di assumere il controllo delle risorse cloud, interferire con l'integrità dei log o interrompere la disponibilità dei servizi negli ambienti cloud e Kubernetes.

Come gli aggressori potrebbero sfruttare le falle

I difetti scoperti aprono collettivamente le porte all'aggiramento dell'autenticazione, alla manipolazione dei file, all'esecuzione di codice remoto, all'interruzione del servizio e alla manomissione dei tag. Se sfruttati, offrono a un intruso la possibilità di corrompere i log, mascherare attività dannose, iniettare dati telemetrici falsificati e penetrare più a fondo nell'infrastruttura cloud.

Ripartizione dei CVE identificati

Le seguenti vulnerabilità illustrano quanto ampia diventa la superficie di attacco quando Fluent Bit elabora input non attendibili:

• CVE‑2025‑12972 – Una vulnerabilità nell'attraversamento del percorso legata all'utilizzo di valori di tag non sanificati per generare nomi di file. Ciò espone i sistemi a scritture di file arbitrarie, manomissioni dei log e potenziale esecuzione di codice.
• CVE‑2025‑12970 – Un overflow del buffer di stack nel plugin di input Docker Metrics (in_docker). La creazione di container con nomi eccessivamente lunghi potrebbe causare un arresto anomalo o l'esecuzione di codice remoto.
• CVE‑2025‑12978 – Un difetto logico nel tag matching che consente di falsificare tag attendibili indovinando solo il carattere iniziale di un Tag_Key, consentendo agli aggressori di reindirizzare i log, aggirare i filtri e iniettare record manipolati.
• CVE‑2025‑12977 – Validazione non corretta dei tag derivati da campi controllati dall'aggressore. L'input dannoso può iniettare sequenze di attraversamento, nuove righe o caratteri di controllo che danneggiano le pipeline di log a valle.
• CVE‑2025‑12969 – Autenticazione mancante nel plugin in_forward utilizzato dalle istanze Fluent Bit che comunicano tramite il protocollo Forward. Questa omissione consente l'iniezione di log falsificati o l'inondazione degli strumenti di sicurezza downstream con eventi fabbricati.

Potenziale impatto sulle operazioni cloud

Insieme, queste vulnerabilità influenzano notevolmente il modo in cui Fluent Bit raccoglie, elabora e archivia i dati di telemetria. Un aggressore determinato potrebbe reindirizzare o sopprimere eventi essenziali, immettere informazioni fuorvianti, cancellare segnali di intrusione o innescare l'esecuzione di codice dannoso attraverso log manipolati. Data l'ampia adozione di Fluent Bit, questi rischi minacciano l'affidabilità degli ambienti cloud aziendali e l'affidabilità della loro infrastruttura di logging.

Patch e guida del fornitore

I problemi sono stati risolti in seguito a una divulgazione coordinata, con correzioni fornite nelle versioni 4.1.1 e 4.0.12 di Fluent Bit, rilasciate nell'ottobre 2025. AWS, che ha preso parte al processo di divulgazione, consiglia a tutti i clienti che utilizzano Fluent Bit di effettuare tempestivamente l'aggiornamento per rimanere protetti.

Raccomandazioni di sicurezza

Per ridurre l'esposizione e rafforzare le pipeline di monitoraggio, gli esperti raccomandano di rafforzare la configurazione e limitare le superfici di attacco. Le principali azioni difensive includono:

Evitare di utilizzare tag dinamici per il routing e limitare i percorsi di output per impedire l'espansione o l'attraversamento dei percorsi guidati dai tag.

Montare le directory di configurazione come /fluent-bit/etc/ come di sola lettura, bloccare la manipolazione in fase di esecuzione ed eseguire Fluent Bit con account non root.

Contesto delle scoperte precedenti

Questa divulgazione segue una precedente vulnerabilità di Fluent Bit segnalata più di un anno prima: CVE-2024-4323, nota anche come Linguistic Lumberjack. Tale falla ha interessato il server HTTP integrato dell'agente, esponendo le istanze a condizioni DoS, esposizione dei dati o esecuzione di codice remoto. I nuovi problemi identificati sottolineano la continua importanza della protezione degli strumenti di telemetria che costituiscono il fondamento dell'osservabilità nel cloud.