CVE-2017-10906
KrytyczneStreszczenie
W podatności CVE-2017-10906 występuje luka związana z wstrzykiwaniem sekwencji ucieczki w wersjach Fluentd od 0.12.29 do 0.12.40. Może to pozwolić atakującemu na zmianę interfejsu użytkownika terminala lub wykonanie dowolnych poleceń na urządzeniu.
Ocena ryzyka
Luka ta stwarza ryzyko dla organizacji, umożliwiając atakującym manipulację interfejsem terminala oraz potencjalne wykonanie złośliwego kodu na urządzeniach.
Rekomendacja
Zaleca się aktualizację Fluentd do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych działań.
Inne podatności w Fluentd
Zobacz wszystkie- CVE-2026-44024Krytyczne
Fluentd przed wersją 1.19.3 umożliwia dynamiczne konstruowanie ścieżek plików z użyciem znacznika ${tag}. Niewystarczająca walidacja tego znacznika w konfiguracjach plików, np. w parametrze path wtyczki out_file, pozwala atakującym na przesyłanie niezaufanych tagów zawierających znaki przejścia do katalogów, co może prowadzić do zapisu lub nadpisania dowolnych plików oraz potencjalnie do zdalnego wykonania kodu.
- CVE-2026-44161Wysokie
Wtyczka wyjściowa out_http w Fluentd przed wersją 1.19.3 umożliwia używanie symboli zastępczych, takich jak ${tag}, w parametrze konfiguracyjnym endpoint. Jeśli wartość symbolu pochodzi z niezaufanego źródła, atakujący może kontrolować docelową nazwę hosta żądań HTTP i kierować je do dowolnych wewnętrznych usług.
- CVE-2026-44160Wysokie
Podatność w Fluentd przed wersją 1.19.3 pozwala na atak DoS przez wyczerpanie pamięci. Wtyczki in_http i in_forward obsługują skompresowane dane gzip, ale ograniczają tylko rozmiar skompresowanego ładunku, co umożliwia wysłanie małego, spreparowanego pakietu, który po dekompresji zajmuje ogromną ilość pamięci.
- CVE-2026-44025Wysokie
Fluentd przed wersją 1.19.3 zawiera podatność w pluginie Monitor Agent (in_monitor_agent), która powoduje nieumyślne ujawnianie wewnętrznych zmiennych instancji w odpowiedziach REST API. Te zmienne mogą zawierać wrażliwe dane, takie jak hasła do baz danych, klucze API lub poświadczenia do chmury.
Oryginalny opis (angielski, źródło NVD)
Escape sequence injection vulnerability in Fluentd versions 0.12.29 through 0.12.40 may allow an attacker to change the terminal UI or execute arbitrary commands on the device via unspecified vectors.