Vulnerability in Fluent Bit affecting many cloud providers

Fluent Bit'i avatud projektis tuvastati haavatavus (CVE-2024-4323), mis võimaldab kauglahenduste kaudu põhjustada mälu kahjustust, mida saab kasutada teenuse keelamiseks, andmelekete tekitamiseks ja potentsiaalselt ka oma koodi täitmiseks serveris. Probleem, millele on antud koodinimi „Linguistic Lumberjack“, omab kriitilist ohtu (9,8 skaalal 10). Haavatavus avaldub alates versioonist 2.0.7 ja on kõrvaldatud parandustes 2.2.3 ja 3.0.4.

Fluent Bit'i on rakendatud üle 10 miljardi korra ja seda kasutatakse logide ja mõõdikute töötlemiseks ning kogumiseks paljudes ettevõtetes ja pilveplatvormidel, näiteks Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift ja Dell. Märtsi jooksul laaditi Fluent Bit'iga 13 miljonit Docker'i pilti. Ettevõtte Tenable andmetel, mis tuvastas haavatavusi, ei blokeeri paljud pilveteenused juurdepääsu Web API-dele, et saada sisemisi mõõdikuid, nagu näiteks tööaeg, ning Fluent Bit'i kasutatakse nende API-dele suunatud päringute töötlemiseks.

Haavatavus on tingitud veast sisseehitatud HTTP serveris, mis ilmneb väliste päringute töötlemisel API- kõnede kaudu „/api/v1/traces” ja „/api/v1/trace”, võimaldades kasutajatel pääseda ligi seadistatud jälgimisandmetele. Kasutaja saab juurdepääsu API andmetele, kui tal on vastavad õigused, sõltumata jälgimise lubamisest. Sissetulevate päringute analüüsimisel määrati mõned sisendväljade tüübid, mis edastati massiivina JSON plokis, valesti ja tõlgendati sõltumata oodatud väljatüübist kui MSGPACK_OBJECT_STR. Massiivis mitte-stringiliste väärtuste, näiteks täisarvupõhiste parameetrite määramine põhjustas mälu kahjustamise, kuna funktsioon flb_sds_create_len() tõmbas edastatud täisarvuväärtuse välja stringi suuruse väljana.

Näide päringust, mis põhjustab krahhi: python3 -c ‘print(«{\»output\»:\»stdout\», \»params\»: {\»format\»: \»json\»},\»inputs\»:[\»» + «A»*8 + «\»,» + str(0xffffffff) + «, \»» + «B»*500 + «\»]}»)’ > test curl -v http://:2020/api/v1/traces/ -H «Content-Type: application/json» -H «Expect: » —data «@test»

Eksperimentide käigus suutsid uurijad teenuse sunniviisilise sulgemise tekitada ning määrata kindlaks jääkmälu sisu, mida kasutati HTTP-päringute töötlemisel ja mis sisaldas näiteks konfidentsiaalsete andmete fragmente, nagu juurdepääsuvõtmed. Kuna probleem toob kaasa sõltuva parameetritest puhverdusülevoolu, siis teoreetiliselt võiks seda ära kasutada süsteemis oma koodi täitmiseks, kuid probleemi avastanud uurijad ei uurinud selle võimaluse olemasolu aja puudumise tõttu.

Allikas: opennet.ru