CVE-2025-12972

Fluent Bit to szybki i lekki procesor logów, metryk i śladów dla Linuksa, BSD, macOS i Windows. Od wersji 0.11.0 do 5.0.8 funkcja secure_forward_pong w plugins/out_forward/forward.c kopiuje kontrolowany przez serwer powód PONG[2] do 32-bajtowego bufora stosu msg za pomocą memcpy bez sprawdzania typu i długości MessagePack. Atakujący kontrolujący lub podszywający się pod cel out_forward Secure Forward skonfigurowany z Shared_Key lub Empty_Shared_Key może wysłać zbyt duży powód podczas pierwszego uzgadniania i nadpisać dane kontrolne stosu. Wersje z ochroną stosu niezawodnie się kończą, natomiast wersje bez canary stosu lub z ujawnieniem mogą pozwolić na zdalne wykonanie kodu jako użytkownik procesu Fluent Bit. W trybie --supervisor respawny typu fork-only zachowują canary i układ adresów, umożliwiając powtarzalne próby crash-or-survive wspierające wykonanie kodu na wzmocnionej wersji; zwykłe restarty przez exec lub menedżer usług nie zachowują tego stanu. Problem naprawiono w wersji 5.0.8.

Wtyczki wejściowe Fluent Bit (in_http, in_splunk, in_elasticsearch) nie dezynfekują danych wejściowych tag_key. Atakujący z dostępem sieciowym lub możliwością zapisu rekordów do Splunk lub Elasticsearch może dostarczyć wartości tag_key zawierające znaki specjalne, takie jak nowe linie lub ../, które są traktowane jako prawidłowe tagi.

Wtyczki wejściowe Fluent Bit in_http, in_splunk i in_elasticsearch zawierają błąd w logice walidacji tag_key, który nie wymusza dokładnego dopasowania długości klucza. Umożliwia to atakującemu z dostępem do tych punktów końcowych manipulowanie tagami i przekierowywanie rekordów do niezamierzonych miejsc. Może to prowadzić do wstrzyknięcia sfałszowanych danych i manipulacji routingiem.

Wtyczka wejściowa in_forward we Fluent Bit nie egzekwuje prawidłowo mechanizmu uwierzytelniania security.users w określonych warunkach konfiguracyjnych. Zdalni atakujący z dostępem sieciowym do instancji Fluent Bit wystawiającej forward input mogą wysyłać nieuwierzytelnione dane.