Sicherheitslücken in Fluent Bit gefährden grosse Cloud-Dienste

Schwachstellen in dem Open-Source-Tool Fluent Bit gefährden die Sicherheit von Cloud-Umgebungen. Wie Oligo Security berichtet, hat dessen Forschungsteam insgesamt fünf kritische Sicherheitslücken entdeckt. Fluent Bit sammelt, verarbeitet und leitet eigenen Angaben zufolge Protokolle, Metriken und Traces von beliebigen Quellen an beliebige Ziele weiter. Der Telemetrieagent sei bereits über 15 Milliarden Mal eingesetzt worden und wird laut Bericht von grossen Technologiekonzernen wie Google Cloud, AWS, Microsoft, Cisco, VMware, Dell und General Motors genutzt.

Gefahren der Schwachstellen 

Laut den Oligo-Forschenden gefährdet der mögliche Ausfall einer solch weitverbreiteten Komponente die Stabilität des gesamten Cloud-Ökosystems. Die entdeckten Schwachstellen ermöglichen es unter anderem, Authentifizierungen zu umgehen, eine Remote-Code-Execution (RCE) zu erreichen, Dienste lahmzulegen und Tags zu manipulieren. Cyberkriminelle könnten dadurch Cloud-Dienste stören, Daten verändern oder sich Zugriff auf die jeweiligen Cloud- und Kubernetes-Infrastrukturen verschaffen. In der Praxis könne ein Angreifer so, wie es weiter heisst, sogar den Protokollierungsdienst selbst übernehmen.

Einige der Sicherheitslücken seien bereits seit mehreren Jahren in Fluent Bit vorhanden. Laut Bericht wurde CVE-2025-12972, welche Protokollmanipulation und in vielen Konfigurationen die vollständige RCE ermöglicht, seit über acht Jahren offen gelassen. "The Register" berichtet zudem von einem mindestens vier Jahre alten Fehler bei der Tag-Verarbeitung (CVE-2025-12977) und einem Pufferüberlauf in der Docker-Eingabe (CVE-2025-12970), der Abstürze auszulösen könne und etwa sechs Jahre zurückliegt.

Die weiteren Schwachstellen seien ein Problem in der Tag-Matching-Logik (CVE-2025-12978) und eine Lücke zur Umgehung der Authentifizierung (CVE-2025-12969).

Behebung der Sicherheitslücken

Wie das israelische Security-Unternehmen schreibt, verzögerte sich die Offenlegung der Schwachstellen über einen offiziellen Kanal. Das Verfahren dauerte demnach über eine Woche und erforderte die Einbeziehung des Cloud-Anbieters AWS, um beachtet und behoben zu werden.

Neben einem Update auf eine aktuelle, stabile Fluent Bit Version (4.2.0 / 4.1.1 / 4.0.12) empfiehlt das Forschungsteam die Verwendung von statischen Tags und festen Pfadparametern, schreibgeschützten Konfigurationen sowie eine Einschränkung des Dateisystemzugriffs.

Auch das Cloud-Softwareunternehmen Salesforce hat im November verdächtige Aktivitäten in seinen Gainsight-Apps untersucht und diese deshalb vorübergehend entfernt. Mehr dazu können Sie hier lesen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.