Sårbarhet i Fluent Bit som påverkar många molnleverantörer

I det öppna projektet Fluent Bit har en sårbarhet (CVE-2024-4323) identifierats som tillåter fjärrattacker för att åstadkomma minneskorruption, vilket kan användas för att orsaka en tjänsteavbrott, dataläckage och potentiellt exekvera egen kod på servern. Problemet, som har kodnamnet "Linguistic Lumberjack", bedöms som extremt kritiskt (9,8 av 10). Sårbarheten finns från version 2.0.7 och har åtgärdats i korrigeringsuppdateringarna 2.2.3 och 3.0.4.

Fluent Bit har över 10 miljarder installationer och används för att hantera och samla loggar och mätningar i många företag och molnplattformar, bland användarna återfinns Google Cloud, AWS, DigitalOcean, vmWare, Cisco, Microsoft, Lyft, LinkedIn, Walmart, Couchbase, Swift och Dell. Under mars månad laddades 13 miljoner Docker-bilder med Fluent Bit ner. Enligt företaget Tenable, som identifierade sårbarheterna, blockerar många molntjänster inte åtkomst till Web API för att hämta interna mätvärden, såsom driftstid, och Fluent Bit används för att hantera begärningar till sådana API:er.

Sårbarheten orsakas av ett fel i den inbyggda HTTP-servern, vilket märks vid hantering av externa begärningar genom API-anrop "\/api\/v1\/traces" och "\/api\/v1\/trace", som gör det möjligt för användare att få information om konfigurerade spårningar. Oavsett om spårning är aktiv har användaren möjlighet att nå API-datan om rätt behörighet ges. Vid behandling av inkommande begärningar togs typerna av vissa indatafält, som skickades via en array i JSON-blocket, felaktigt och tolkades oavsett förväntad typ som MSGPACK_OBJECT_STR. Att ange icke-strängvärden, såsom heltalsparametrar, i indatasarrayen ledde till minneskorruption eftersom funktionen flb_sds_create_len() extraherade det skickade heltalsvärdet som ett fält med strängstorlek.

Exempel på en begäran som orsakar krasch: python3 -c ‘print(«{\"output\":\"stdout\", \"params\": {\"format\": \"json\"},\"inputs\":[\"" + "A"*8 + "\"," + str(0xffffffff) + ", \"" + "B"*500 + "\"]}»)’ > test curl -v http:\/\/localhost:2020\/api\/v1\/traces\/ -H "Content-Type: application\/json" -H "Expect: " --data "@test"

Under experimentations, researchers managed to cause a service crash and identify the residual contents of memory used during HTTP request processing, which included fragments of sensitive data such as access keys. Since the issue leads to parameter-dependent buffer overflow, it theoretically could be exploited to execute code in the system; however, the researchers who identified the problem did not verify this possibility due to a lack of time to work on an exploit.

Källa: opennet.ru