クラウド環境などでログ収集に活用される「Fluent Bit」に脆弱性

ログの収集などに活用されている「Fluent Bit」に脆弱性が明らかとなった。修正は実施されたものの、現地時間5月20日の時点で開発者からの正式なアナウンスなどは行われていない。

トレース情報の取得や管理を行うために使用される「API」にバッファオーバーフローの脆弱性「CVE-2024-4323」が明らかとなったもの。クエリに対する処理に問題があり、メモリ破壊が生じるおそれがある。

APIにアクセスできる場合、だれでもクエリを送信でき、脆弱性を悪用されるとリモートよりコードを実行されたり、情報漏洩、サービス拒否などが生じるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」とレーティングされている。「同3.0.3」から「同2.0.7」までが影響を受ける。

同脆弱性を発見、報告したTenableは、コード実行につながる信頼性を担保したエクスプロイトを作成することは難しく、非常に時間がかかるとし、差し迫ったリスクとしては「情報漏洩」と「サービス拒否」を挙げた。

同脆弱性は「同3.0.4」にて修正されており、リポジトリ上にパッチが公開されているが、現地時間5月20日の時点で開発者によるリリースのアナウンスは行われていない。

（Security NEXT - 2024/05/21 ）ツイート