CVE-2024-50609

Fluent Bit الإصدار 3.1.9

تم اكتشاف مشكلة في Fluent Bit عند تشغيل المكون الإضافي OpenTelemetry input واستماعه على عنوان IP ومنفذ. يمكن للمستخدم الذي لديه حق الوصول إلى نقطة النهاية إرسال حزمة تحتوي على Content-Length: 0 وتسبب تعطل الخادم، مما يتيح شن هجوم «رفض الخدمة» عن بُعد. يحدث التعطل بسبب إزالة مرجعية مؤشر NULL عندما يتم تمرير القيمة 0 (من Content-Length) إلى الدالة cfl sds len()، التي تحاول تحويل مؤشر NULL إلى struct cfl sds. ويرتبط هذا بالدالة process payload traces proto ng() في الملف opentelemetry prot.c.

كحل مؤقت، يُنصح بتعطيل المكون الإضافي OpenTelemetry input حتى يتوفر تصحيح. قم بتقييد الوصول إلى نقطة النهاية المعرضة للخطر لتقليل مخاطر الاستغلال. تجنب إرسال حزم تحتوي على Content-Length: 0 إلى الخادم المتأثر حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.