Fluent Bit 曝出嚴重漏洞，影響所有雲端供應商

Fluent Bit 的一個關鍵漏洞可用於拒絕服務和遠端程式碼執行攻擊，所有主要雲端供應商都可能受到影響。

Fluent Bit是一款非常受歡迎的日誌和度量解決方案，適用於Windows、Linux和macOS，主要存在於Kubernetes發行版本中，包括亞馬遜AWS、谷歌GCP和微軟Azure的發行版。

截至2024 年3 月，Fluent Bit 的下載和部署次數已超過130 億次，比2022 年10 月報告的30 億次下載量有了大幅成長。

Crowdstrike 和Trend Micro 等網路安全公司以及思科、VMware、英特爾、Adobe 和戴爾等許多科技公司也正在使用Fluent Bit。

Tenable 安全研究人員將此漏洞稱為Linguistic Lumberjack，並將其追蹤為CVE-2024-4323。據悉，漏洞是在2.0.7 版本中引入的，是由Fluent Bit 的嵌入式HTTP 伺服器在解析追蹤請求時的堆緩衝區溢位弱點引起的。

儘管未經認證的攻擊者可以輕鬆利用該安全漏洞觸發拒絕服務或遠端捕獲敏感訊息，但如果有合適的條件和足夠的時間創建可靠的漏洞，他們也可以利用該漏洞獲得遠端程式碼執行。

Tenable 安全研究人員表示：雖然堆緩衝區溢位是可以被利用的，但創造一個可靠的漏洞不僅困難重重，而且需要耗費大量時間。

研究人員認為，最直接、最主要的風險是那些與輕易實現DoS 和資訊外洩有關的風險。

隨Fluent Bit 3.0.4 發布的補丁程序

4 月30 日，Tenable 向供應商報告了該安全漏洞，並於5 月15 日提交了該漏洞的修補程序，包含該補丁的正式版本預計將隨Fluent Bit 3.0.4 一起發布。

Tenable 也於透過其漏洞揭露平台向微軟、亞馬遜和谷歌通報了這個重大安全漏洞。

Tenable 方面上週三（5 月15 日）表示：在所有受影響的平台修復之前，那些已經在基礎架構上部署了該日誌工具的客戶，可以透過限制授權用戶和服務存取Fluent Bit 的監控API 來緩解這一問題。

如果用不到這個易受攻擊的API 端點，也可以將其停用，這樣可以最大程度地避免安全風險。