Haavatavus Fluent Bit, mis mõjutab paljusid pilveteenuse pakkujaid

Ava projektis Fluent Bit tuvastati haavatavus (CVE-2024-4323), mis võimaldab kaugjuhtimise teel mäluprobleeme tekitada, mida saab kasutada teenuse katkestamiseks, andmete lekkimiseks ja potentsiaalselt koodi käivitamiseks serveris. Probleem, mille koodinimi on "Linguistic Lumberjack", on kriitilise tähtsusega (9.8 skaalal 10-st). Haavatavus ilmneb alates versioonist 2.0.7 ja on kõrvaldatud parandavates värskendustes 2.2.3 ja 3.0.4.

Fluent Bit'il on üle 10 miljardi kasutuse ja seda rakendatakse logide ja mõõdikute töötlemiseks ja kogumiseks paljude ettevõtete ja pilveplatvormide seas, sealhulgas Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift ja Dell. Märtsis laaditi üles 13 miljonit Docker-kontseptsiooniga Fluent Bit. Vastavalt ettevõtte Tenable, mis tuvastas haavatavused, ei blokeeri paljud pilveteenused juurdepääsu Web API-le sisemiste mõõdikute, nagu süsteemi tööaeg, saamiseks, ning Fluent Bit'i kasutatakse selliste API-dega seotud päringute töötlemiseks.

Haavatavus tuleneb veast sisseehitatud HTTP-serveris, mis ilmneb väliste päringute töötlemisel API-kõnede kaudu "/api/v1/traces" ja "/api/v1/trace", võimaldades kasutajatel saada teavet seadistatud jälgimiste kohta. Ükskõik, kas jälgimine on lubatud või mitte, on kasutajal võimalik pääseda API andmetele, kui talle on antud vastav ligipääs. Sisenevate päringute analüüsimisel määrati teatud sisendväljade tüübid, mida edastatakse JSON-bloki massiivis, valesti ja tõlgendati sõltumata oodatud väljatüübidest kui MSGPACK_OBJECT_STR tüüpi. Massiivis, kus oli määratud mitte-stringi väärtusi, nagu täisarvulised parameetrid, põhjustas mäluprobleeme, kuna funktsioon flb_sds_create_len() tootis edastatud täisarvulise väärtuse stringi pikkusena.

Näide päringust, mis põhjustab süsteemi kokku kukkumise: python3 -c ‘print(«{\»output\»:\»stdout\», \»params\»: {\»format\»: \»json\»},\»inputs\»:[\»» + «A»*8 + «\»,» + str(0xffffffff) + «, \»» + «B»*500 + «\»]}»)’ > test curl -v http://:2020/api/v1/traces/ -H «Content-Type: application/json» -H «Expect: » —data «@test»

Eksperimendis suudeti teadlastel saavutada teenuse hädaseisundisse viimine ning määrata HTTP-päringute töötlemisel kasutatud mälus säilinud sisu, sealhulgas näiteks konfidentsiaalse info fragmente, nagu ligipääsuvõtmed. Kuna probleem võib sõltuda edastatavatest parameetritest ja põhjustada puhverdusülessehitust, võib seda teoreetiliselt ära kasutada süsteemis oma koodi käivitamiseks, kuid probleemi avastanud teadlased ei kontrollinud seda võimalust aja puudumise tõttu exploiti kallal töötamiseks.

Allikas: opennet.ru