Fluent Bit Jahrealte Sicherheitslücken gefährden Dienste der Hyperscaler

Anbieter zum Thema

netfiles GmbH

Cloudgermany.de GmbH

Fünf Sicherheitslücken in Fluent Bit, die teils schon mehrere Jahre lang bestehen, gefährden Cloud-Dienste und Container-Umgebungen. Die Ri­siken reichen von Authentifizierungsumgehung bis Remote Code Exe­cution.

Das Forschungsteam von Oligo berichtet online, fünf kritische Sicherheitslücken in Fluent Bit entdeckt zu haben. Fluent Bit ist ein Open-Source-Tool, das Protokolle, Metriken und Traces sammelt, verarbeitet und weiterleitet. Große Cloud-Dienste wie AWS, Google Cloud und Azure nutzen das Tool, um Telemetriedaten plattformweit zu erfassen und an unterschiedliche Ziel­sys­teme für die Analyse und Speicherung zu übermitteln.

Den Analysten zufolge ist Fluent Bit in Milliarden von Containern eingebettet und wurde bereits über 15 Milliarden Mal bereit­ge­stellt. Allein in einer Woche würde das Tool über vier Millionen Mal abgerufen. Und nicht nur die Hyperscaler nutzen Fluent Bit. Es komme auch in KI-Laboren, bei Auto­mobil­herstellern und in Banken zum Einsatz.

Umso schlimmer, dass eine Kette von fünf Schwach­stellen es Angreifern erlaube, die Authentifizierung zu umgehen, Pfadmanipulationen durchzuführen, Remote-Code auszuführen und Denial-of-Service-Angriffe auszulösen sowie Tags zu manipulieren. So seien Cyberkriminelle in der Lage, Cloud-Dienste zu stören, Daten zu manipulieren und sich Zugriff auf die Cloud- und Kubernetes-Infrastruktur von Fluent-Bit-Usern zu verschaffen.

Security by Design in Cloud-Umgebungen

Sicherheit von Anfang an mitdenken

Softwarefehler nach mehreren Jahren entdeckt

Mittlerweile seien alle fünf Sicherheitslücken von Oligo in Zusammenarbeit mit AWS geschlossen worden. Die Sicherheitslücken sind laut Oligo folgende:

• CVE-2025-12977, CVSS-Score 9.1: Tags, die von benutzerdefinierten Feldern abgeleitet werden, umgehen die Bereinigung. Dies ermöglicht es Angreifern, Zeilenumbrüche, Traver­sierungssequenzen und Steuerzeichen einzuschleusen, die nachfolgende Protokolle verfälschen oder umfassendere Angriffe ermöglichen.

• CVE-2025-12970, CVSS-Score 8.8: Ein Stack-Buffer-Overflow in der Docker-Eingabe er­mög­licht es Angreifern, Abstürze auszulösen oder Code auszuführen, indem sie Container mit extrem langen Namen erstellen. Dadurch erhalten sie die Kontrolle über den Fluent-Bit-Agenten auf dem Host.

• CVE-2025-12969, CVSS-Score 6.5: Fluent-Bit-Weiterleitungen, die mit „Security.Users“ konfiguriert sind, deaktivieren stillschweigend die Authentifizierung. Dadurch können entfernte Angreifer Protokolle senden, falsche Telemetriedaten einschleusen oder Er­kennungssysteme überlasten, obwohl diese scheinbar gesichert sind.

• CVE-2025-12978, CVSS-Score 5.4: Eine Schwachstelle in der Tag-Matching-Logik von Fluent Bit ermöglicht es Angreifern, vertrauenswürdige Tags zu fälschen, indem sie lediglich das erste Zeichen eines „Tag_Key“ erraten. Dadurch können sie Protokolle umleiten, Filter umgehen und schädliche oder irreführende Datensätze einschleusen.

• CVE-2025-12972, CVSS-Score 5.3: Unsaubere Tag-Werte werden zur Generierung von Aus­gabedateinamen verwendet. Dies ermöglicht Angreifern, Pfadtraversierungssequenzen wie „../“ einzuschleusen, um beliebige Dateien auf der Festplatte zu schreiben oder zu über­schrei­ben. Dadurch können Protokolle manipuliert und in vielen Konfigurationen vollständiger Remote-Code ausgeführt werden.

Wie die Untersuchungen den Forschenden gezeigt hätten, war CVE-2025-12972 bereits seit über acht Jahren eine Gefahr für Cloud-Umgebungen. Auch die anderen Sicherheitslücken würden bereits seit Langem bestehen. Wie The Register berichtet, entstanden sie durch die Ein­führ­ung eines neuen Plugins. CVE-2025-12977 bestünde bereits seit mindestens vier Jahren und CVE-2025-12970 seit etwa sechs Jahren.

Dem Beitrag zufolge sind folgende Konfigurationen anfällig:

• Jede Konfiguration, bei der der Tag-Wert (direkt oder indirekt) beeinflusst werden kann und die Ausgabedatei keinen definierten Dateischlüssel enthält.

• HTTP-Eingabe mit gesetztem Tag-Schlüssel und fehlendem Dateischlüssel in der Ausgabedatei.

• Splunk-Eingabe mit gesetztem Tag-Schlüssel und fehlendem Dateischlüssel in der Ausgabedatei.

• Elasticsearch-Eingabe mit gesetztem Tag-Schlüssel und fehlendem Dateischlüssel in der Ausgabedatei.

• Forward-Eingabe in Kombination mit einer Ausgabedatei ohne Dateischlüssel.

Unternehmen, die Fluent Bit als Workload nutzen, sollten auf die aktuelle Version 4.1.1 aktu­ali­sieren, die die Sicherheitslücken schließt. Zudem sollten Nutzer ihre Container-Umgebungen absichern, indem sie statische Tags und feste Pfade und schreibgeschützte Konfigurationen verwenden sowie den Zugriff für netzwerkübertragene Plugins einschränken.

Ein Security Advisory von Fluent Bit selbst gibt es nicht. Oligo habe die Schwachstellen erstmals am 25. September 2025 an den Hersteller gemeldet. Es seien mehrere Anläufe sowie die Unter­stütz­ung von AWS notwendig gewesen, um die CVEs zu erhalten und die Sicher­heitslücken zu beheben.

Künftige Sicherheitsbedrohung ganz nah

Quantencomputer rauben Cloud-Daten

(ID:50646205)