本文來自微信公眾號“GoUpSec”。
Fluent Bit是一個極為流行的開源多平臺日志處理器工具，近日曝出高危漏洞，波及全球幾乎所有主流云服務(wù)商和眾多科技巨頭。
Fluent Bit不僅兼容Windows、Linux和macOS系統(tǒng)，還嵌入在各大主流Kubernetes發(fā)行版中，其中就包括亞馬遜AWS、谷歌GCP和微軟Azure的產(chǎn)品。截至2024年3月，F(xiàn)luent Bit的下載部署量已超過130億次，相比2022年10月報告的30億次呈現(xiàn)爆炸式增長。
Crowdstrike、趨勢科技等網(wǎng)絡(luò)安全廠商以及思科、VMware、英特爾、Adobe和戴爾等科技公司均在其系統(tǒng)中部署了FluentBit。
Tenable安全研究人員發(fā)現(xiàn)此漏洞并將其命名為“CVE-2024-4323-語言伐木工(Linguistic Lumberjack)”，這是一個內(nèi)存損壞高危漏洞，出現(xiàn)在Fluent Bit嵌入式HTTP服務(wù)器解析跟蹤請求過程中，版本號則最早可追溯至2.0.7。
未經(jīng)身份驗證的攻擊者可以輕松利用此漏洞發(fā)動拒絕服務(wù)攻擊，或遠程竊取敏感信息。在具備充分條件和時間的情況下，甚至有可能借此漏洞實現(xiàn)遠程代碼執(zhí)行。Tenable表示：“這類堆棧溢出漏洞雖然已知可被利用，但要構(gòu)建一個可靠的攻擊程序不僅困難，而且極其耗時。研究人員認為，該漏洞最緊迫的風險在于易于發(fā)起的拒絕服務(wù)攻擊和信息泄露。”
修復(fù)措施
Tenable在4月30日向Fluent Bit開發(fā)商通報了該安全漏洞，相關(guān)修復(fù)程序已于5月15日提交至Fluent Bit的主分支。包含漏洞修復(fù)的正式版本預(yù)計將隨Fluent Bit 3.0.4發(fā)布（Linux軟件包鏈接：https://github.com/fluent/fluent-bit/actions/runs/9097880110）。
Tenable也于5月15日通過漏洞披露平臺通知了微軟、亞馬遜和谷歌。
對于已經(jīng)部署Fluent Bit的用戶，在官方補丁發(fā)布之前，可以通過限制對Fluent Bit監(jiān)控API的訪問（僅授權(quán)用戶和服務(wù)）來降低風險。若非必要，也可以禁用該易受攻擊的API端點，以確保潛在攻擊被阻斷并縮小攻擊面。
