CVE-2026-44160
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Podatność w Fluentd przed wersją 1.19.3 pozwala na atak DoS przez wyczerpanie pamięci. Wtyczki in_http i in_forward obsługują skompresowane dane gzip, ale ograniczają tylko rozmiar skompresowanego ładunku, co umożliwia wysłanie małego, spreparowanego pakietu, który po dekompresji zajmuje ogromną ilość pamięci.
Ocena ryzyka
Atakujący może zdalnie doprowadzić do wyczerpania pamięci serwera Fluentd, powodując odmowę usługi (DoS) i przerwanie zbierania oraz przetwarzania logów, co może wpłynąć na działanie całego systemu monitorowania.
Rekomendacja
Należy niezwłocznie zaktualizować Fluentd do wersji 1.19.3 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy rozważyć ograniczenie dostępu do wtyczek in_http i in_forward tylko do zaufanych źródeł.
Inne podatności w Fluentd
Zobacz wszystkie- CVE-2026-44024Krytyczne
Fluentd przed wersją 1.19.3 umożliwia dynamiczne konstruowanie ścieżek plików z użyciem znacznika ${tag}. Niewystarczająca walidacja tego znacznika w konfiguracjach plików, np. w parametrze path wtyczki out_file, pozwala atakującym na przesyłanie niezaufanych tagów zawierających znaki przejścia do katalogów, co może prowadzić do zapisu lub nadpisania dowolnych plików oraz potencjalnie do zdalnego wykonania kodu.
- CVE-2017-10906Krytyczne
W podatności CVE-2017-10906 występuje luka związana z wstrzykiwaniem sekwencji ucieczki w wersjach Fluentd od 0.12.29 do 0.12.40. Może to pozwolić atakującemu na zmianę interfejsu użytkownika terminala lub wykonanie dowolnych poleceń na urządzeniu.
- CVE-2026-44161Wysokie
Wtyczka wyjściowa out_http w Fluentd przed wersją 1.19.3 umożliwia używanie symboli zastępczych, takich jak ${tag}, w parametrze konfiguracyjnym endpoint. Jeśli wartość symbolu pochodzi z niezaufanego źródła, atakujący może kontrolować docelową nazwę hosta żądań HTTP i kierować je do dowolnych wewnętrznych usług.
- CVE-2026-44025Wysokie
Fluentd przed wersją 1.19.3 zawiera podatność w pluginie Monitor Agent (in_monitor_agent), która powoduje nieumyślne ujawnianie wewnętrznych zmiennych instancji w odpowiedziach REST API. Te zmienne mogą zawierać wrażliwe dane, takie jak hasła do baz danych, klucze API lub poświadczenia do chmury.
Oryginalny opis (angielski, źródło NVD)
Fluentd collects events from various data sources and writes them to files, RDBMS, NoSQL, IaaS, SaaS, Hadoop and so on. Prior to 1.19.3, Fluentd's in_http and in_forward plugins support gzip-compressed data but enforce limits only on compressed payloads through settings such as body_size_limit and chunk_size_limit, allowing crafted compressed payloads to decompress in memory to an excessive size and cause denial of service through memory exhaustion. This issue is fixed in version 1.19.3.