Vulnerabilități de securitate Fluent Bit

Cercetările efectuate au scos la iveală cinci probleme severe de securitate în cadrul Fluent Bit, un agent de telemetrie open-source utilizat pe scară largă. Atunci când sunt combinate, aceste puncte slabe oferă actorilor amenințători multiple căi de a prelua controlul asupra activelor din cloud, de a interfera cu integritatea jurnalelor sau de a perturba disponibilitatea serviciilor în mediile cloud și Kubernetes.

Cum ar putea atacatorii să exploateze defectele

Defectele descoperite deschid împreună calea către ocolirea autentificării, manipularea fișierelor, executarea de cod la distanță, întreruperea serviciilor și falsificarea etichetelor. Dacă sunt transformate în arme, acestea oferă unui intrus capacitatea de a corupe jurnalele, de a masca activitățile rău intenționate, de a injecta telemetrie fabricată și de a se integra mai profund în infrastructura cloud.

Defalcarea CVE-urilor identificate

Următoarele vulnerabilități ilustrează cât de largă devine suprafața de atac atunci când Fluent Bit procesează date de intrare nesigure:

• CVE‑2025‑12972 – O vulnerabilitate de traversare a căii, legată de valorile etichetelor nesanitizate utilizate pentru a genera nume de fișiere. Aceasta expune sistemele la scrieri arbitrare de fișiere, modificarea jurnalelor și potențiala executare de cod.
• CVE‑2025‑12970 – O depășire a memoriei tampon din stivă în pluginul de intrare Docker Metrics (in_docker). Crearea de containere cu nume prea lungi ar putea declanșa o eroare sau ar putea duce la executarea de cod la distanță.
• CVE‑2025‑12978 – O eroare logică în potrivirea etichetelor care permite falsificarea etichetelor de încredere prin ghicirea doar a caracterului inițial al unei chei Tag_Key, permițând atacatorilor să redirecționeze jurnalele, să ocolească filtrarea și să injecteze înregistrări manipulate.
• CVE‑2025‑12977 – Validare incorectă a etichetelor derivate din câmpuri controlate de atacatori. Introducerea de date rău intenționate poate injecta secvențe de traversare, linii noi sau caractere de control care corupe conductele de jurnalizare din aval.
• CVE‑2025‑12969 – Lipsa autentificării în pluginul in_forward utilizat de instanțele Fluent Bit care comunică prin protocolul Forward. Această omisiune permite injectarea de jurnale falsificate sau inundarea instrumentelor de securitate din aval cu evenimente fabricate.

Impactul potențial asupra operațiunilor în cloud

Împreună, aceste vulnerabilități oferă o influență extinsă asupra modului în care Fluent Bit colectează, procesează și stochează datele de telemetrie. Un atacator determinat poate redirecționa sau suprima evenimente esențiale, poate introduce informații înșelătoare, poate șterge semnele de intruziune sau poate declanșa execuția de cod rău intenționat prin intermediul jurnalelor manipulate. Având în vedere adoptarea pe scară largă a Fluent Bit, aceste riscuri amenință fiabilitatea mediilor cloud ale întreprinderilor și încrederea în infrastructura lor de înregistrare.

Patch-uri și îndrumări pentru furnizori

Problemele au fost rezolvate în urma dezvăluirii coordonate, cu remedieri furnizate în versiunile 4.1.1 și 4.0.12 de Fluent Bit, lansate în octombrie 2025. AWS, care a participat și ea la procesul de dezvăluire, sfătuiește toți clienții care utilizează Fluent Bit să actualizeze prompt pentru a rămâne protejați.

Recomandări de securitate

Pentru a reduce expunerea și a consolida canalele de monitorizare, experții recomandă o configurare mai strictă și o restricționare a suprafețelor de atac. Acțiunile defensive cheie includ:

Evitați utilizarea etichetelor dinamice pentru rutare și restricționați căile de ieșire pentru a preveni extinderea sau traversarea căilor bazate pe etichete.

Montați directoarele de configurare precum /fluent-bit/etc/ ca doar citire, blocați manipularea în timpul rulării și rulați Fluent Bit sub conturi non-root.

Contextul descoperirilor anterioare

Această dezvăluire vine în urma unei vulnerabilități Fluent Bit raportate anterior cu mai bine de un an în urmă: CVE-2024-4323, cunoscută și sub numele de Linguistic Lumberjack. Această vulnerabilitate a afectat serverul HTTP încorporat al agentului și a expus instanțele la condiții DoS, expunerea datelor sau execuția de cod la distanță. Problemele nou identificate subliniază importanța continuă a securizării instrumentelor de telemetrie care stau la baza observabilității în cloud.