Уязвимост в Fluent Bit, която засяга множество облачни доставчици

В отворения проект Fluent Bit е открита уязвимост (CVE-2024-4323), която позволява дистанционно предизвикване на повреждане на паметта, което може да се използва за причиняване на отказ в обслужването, изтичане на данни и потенциално изпълнение на свой код на сървъра. Проблемът, получил кодовото име „Лингвистичен дървосекач“, има критично ниво на опасност (9.8 от 10). Уязвимостта се проявява от версия 2.0.7 и е отстранена в коригиращите актуализации 2.2.3 и 3.0.4.

Fluent Bit има над 10 милиарда внедрения и се използва за обработка и събиране на логове и метрики в много компании и облачни платформи, сред които се открояват Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift и Dell. През март са изтеглени 13 млн Docker-образа с Fluent Bit. Според данните на компанията Tenable, открила уязвимостите, много облачни услуги не блокират достъпа до Web API за извличане на вътрешни метрики, като uptime, и за обработка на запитванията към подобни API се използва Fluent Bit.

Уязвимостта е причинена от грешка в вграденото HTTP-сървър, проявяваща се при обработка на външни заявки чрез API-визовете „/api/v1/traces“ и „/api/v1/trace“, позволяваща на потребителите да получават информация за настройките за трасировка. Независимо от включената трасировка, потребителят има възможност да се обърне към данните на API, ако му е предоставен съответен достъп. При обработката на входящите заявки типовете определени входни полета, изпратени чрез масив в JSON блока, бяха интерпретирани погрешно и независимо от очаквания тип поле бяха тълкувани като тип MSGPACK_OBJECT_STR. Посочването в масива на входни данни, които не са от тип низ, например, цели параметри, водеше до повреждане на паметта, тъй като функцията flb_sds_create_len() извличаше подаденото цяло число като поле с размер на низ.

Пример за заявка, която предизвиква аварийно завършване: python3 -c 'print("{\"output\":\"stdout\", \"params\": {\"format\": \"json\"},\"inputs\":[\"" + "A"*8 + "\"," + str(0xffffffff) + ", \"" + "B"*500 + "\"]}' > test curl -v http://:2020/api/v1/traces/ -H "Content-Type: application/json" -H "Expect: " --data "@test"

В хода на експериментите изследователите успяха да постигнат аварийно прекратяване на услугата и да определят остатъчното съдържание на паметта, използвана при обработка на HTTP заявки, което съдържа, например, фрагменти от поверителни данни, като ключове за достъп. Тъй като проблемът води до преливане на буфера, зависещо от предаваните параметри, теоретично той може да бъде експлоатиран за изпълнение на собствен код в системата, но изследователите, които идентифицираха проблема, не провериха тази възможност поради липса на време за работа по експлоатацията.

Източник: opennet.ru