Vulnerabilidades de segurança do Fluent Bit

A pesquisa realizada revelou cinco graves problemas de segurança no Fluent Bit, um agente de telemetria de código aberto amplamente utilizado. Quando interligadas, essas vulnerabilidades oferecem aos agentes maliciosos múltiplas maneiras de assumir o controle de ativos na nuvem, interferir na integridade dos logs ou interromper a disponibilidade de serviços em ambientes de nuvem e Kubernetes.

Como os atacantes poderiam explorar as falhas

Os defeitos descobertos, em conjunto, abrem caminho para a burla da autenticação, manipulação de arquivos, execução remota de código, interrupção de serviços e adulteração de tags. Se explorados, esses defeitos permitem que um invasor corrompa registros, mascare atividades maliciosas, injete telemetria falsa e penetre ainda mais fundo na infraestrutura de nuvem.

Detalhamento das CVEs identificadas

As vulnerabilidades a seguir ilustram a ampla superfície de ataque que o Fluent Bit apresenta ao processar entradas não confiáveis:

• CVE-2025-12972 – Uma vulnerabilidade de travessia de diretório relacionada a valores de tags não sanitizados usados para gerar nomes de arquivos. Isso expõe os sistemas a gravações arbitrárias de arquivos, adulteração de logs e potencial execução de código.
• CVE-2025-12970 – Uma vulnerabilidade de estouro de buffer de pilha no plugin de entrada do Docker Metrics (in_docker). A criação de contêineres com nomes excessivamente longos pode causar uma falha ou resultar na execução remota de código.
• CVE‑2025‑12978 – Uma falha lógica na correspondência de tags que permite a falsificação de tags confiáveis, adivinhando apenas o caractere inicial de uma Tag_Key, possibilitando que invasores redirecionem logs, ignorem filtros e injetem registros manipulados.
• CVE-2025-12977 – Validação inadequada de tags derivadas de campos controlados pelo atacante. Entradas maliciosas podem injetar sequências de travessia, novas linhas ou caracteres de controle que corrompem os pipelines de log subsequentes.
• CVE-2025-12969 – Autenticação ausente no plugin in_forward usado por instâncias do Fluent Bit que se comunicam via protocolo Forward. Essa omissão permite a injeção de logs falsificados ou a sobrecarga de ferramentas de segurança subsequentes com eventos fabricados.

Potencial impacto nas operações em nuvem

Em conjunto, essas vulnerabilidades conferem ampla influência sobre a forma como o Fluent Bit coleta, processa e armazena dados de telemetria. Um atacante determinado pode redirecionar ou suprimir eventos essenciais, plantar informações enganosas, apagar sinais de intrusão ou acionar a execução de código malicioso por meio de logs manipulados. Dada a ampla adoção do Fluent Bit, esses riscos ameaçam a confiabilidade dos ambientes de nuvem corporativos e a credibilidade de sua infraestrutura de registro de logs.

Correções e orientações do fornecedor

Os problemas foram resolvidos após uma divulgação coordenada, com correções disponibilizadas nas versões 4.1.1 e 4.0.12 do Fluent Bit, lançadas em outubro de 2025. A AWS, que também participou do processo de divulgação, recomenda que todos os clientes que utilizam o Fluent Bit atualizem imediatamente para manter a proteção.

Recomendações de segurança

Para reduzir a exposição e fortalecer os canais de monitoramento, especialistas recomendam aprimorar a configuração e restringir as superfícies de ataque. As principais ações defensivas incluem:

Evite usar tags dinâmicas para roteamento e restrinja os caminhos de saída para impedir a expansão ou o percurso de caminhos orientados por tags.

Monte diretórios de configuração como /fluent-bit/etc/ como somente leitura, bloqueie a manipulação em tempo de execução e execute o Fluent Bit em contas que não sejam de root.

Contexto a partir de descobertas anteriores

Esta divulgação segue uma vulnerabilidade anterior do Fluent Bit relatada há mais de um ano: CVE-2024-4323, também conhecida como Linguistic Lumberjack. Essa falha afetava o servidor HTTP integrado do agente e expunha instâncias a ataques de negação de serviço (DoS), exposição de dados ou execução remota de código. Os problemas recém-identificados reforçam a importância contínua de proteger as ferramentas de telemetria que formam a base da observabilidade na nuvem.