Sårbarhed i Fluent Bit, der påvirker mange cloud-udbydere

I det åbne projekt Fluent Bit er der blevet opdaget en sårbarhed (CVE-2024-4323), som gør det muligt at forårsage hukommelsesskader eksternt, hvilket kan bruges til at udløse nedetid, datalækager og potentielt udføre egen kode på serveren. Problemet, der er tildelt kodnavnet "Linguistic Lumberjack", har en kritisk faregrad (9,8 ud af 10). Sårbarheden optræder fra version 2.0.7 og er blevet rettet i de korrektioner opdateringer 2.2.3 og 3.0.4.

Fluent Bit har over 10 milliarder implementeringer og bruges til behandling og indsamling af logs og metrics i mange virksomheder og cloud-platforme, såsom blandt brugerne at nævne Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift og Dell. I løbet af marts blev der downloadet 13 millioner Docker-billeder med Fluent Bit. Ifølge virksomheden Tenable, der opdagede sårbarhederne, blokerer mange cloud-tjenester ikke adgangen til Web API for at få interne metrics, såsom oppetid, og Fluent Bit bruges til at behandle henvendelser til sådanne API'er.

Sårbarheden skyldes en fejl i den indbyggede HTTP-server, som opstår, når der behandles eksterne anmodninger gennem API-opkald "\/api\/v1\/traces" og "\/api\/v1\/trace", der giver brugerne mulighed for at få information om de konfigurerede spor. Uanset om sporingen er aktiveret, kan brugeren få adgang til API-data, hvis de har fået den relevante adgang. Under analysen af indkommende anmodninger blev typerne af nogle indtastningsfelter, der blev sendt gennem et array i JSON-blokken, bestemt forkert og blev uanset det forventede felttype fortolket som MSGPACK_OBJECT_STR type. At angive ikke-strengværdier i input-arrayet, såsom heltalsparametre, førte til hukommelsesskader, da funktionen flb_sds_create_len() hentede det overførte heltal som et felt med størrelsen af en streng.

Eksempel på en anmodning, der forårsager en nedbrud: python3 -c ‘print(“{\

I eksperimenterne lykkedes det forskerne at opnå en nødsituation, der førte til en nedlukning af tjenesten, og at identificere det resterende indhold i hukommelsen, der blev brugt til behandling af HTTP-anmodninger, og som indeholdt eksempelvis fragmenter af fortrolige data som adgangsnøgler. Da problemet fører til en buffer-overløb, der afhænger af de overførte parametre, kan det teoretisk udnyttes til at udføre sin kode i systemet, men forskerne, der blev opmærksomme på problemet, testede ikke denne mulighed på grund af mangel på tid til at arbejde på et exploit.

Kilde: opennet.ru