CVE-2024-50608

Fluent Bit الإصدار 3.1.9

تم اكتشاف مشكلة في Fluent Bit عندما يكون المكون الإضافي Prometheus Remote Write قيد التشغيل ويستمع على عنوان IP ومنفذ معينين. من الممكن إرسال حزمة تحتوي على Content-Length: 0، مما يؤدي إلى تعطل الخادم. يؤدي التعامل غير السليم مع الحالة التي يكون فيها Content-Length يساوي 0 إلى تمكين المستخدم (الذي لديه وصول إلى نقطة النهاية) من تنفيذ هجوم عن بعد لرفض الخدمة. تحدث هذه الثغرة بسبب إشارة مؤشر NULL عندما يتم تمرير القيمة 0 (الناشئة عن Content-Length) إلى الدالة cfl sds len، التي تحاول بدورها تحويل مؤشر NULL إلى البنية cfl sds. ويرتبط هذا بـ process payload metrics ng() في ملف prom rw prot.c.

في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.