Vulnerabilidades de seguridad de Fluent Bit

Una investigación realizada ha revelado cinco graves problemas de seguridad en Fluent Bit, un agente de telemetría de código abierto ampliamente implementado. Al combinarse, estas vulnerabilidades ofrecen a los actores de amenazas múltiples vías para tomar el control de los activos en la nube, interferir con la integridad de los registros o interrumpir la disponibilidad del servicio en entornos de nube y Kubernetes.

Cómo los atacantes podrían explotar las fallas

Los defectos descubiertos, en conjunto, abren la puerta a la elusión de la autenticación, la manipulación de archivos, la ejecución remota de código, la interrupción del servicio y la manipulación de etiquetas. Si se utilizan como arma, permiten a un intruso corromper registros, enmascarar actividad maliciosa, inyectar telemetría falsa y penetrar más profundamente en la infraestructura de la nube.

Desglose de los CVE identificados

Las siguientes vulnerabilidades ilustran cuán amplia se vuelve la superficie de ataque cuando Fluent Bit procesa entradas no confiables:

• CVE‑2025‑12972: Una vulnerabilidad de cruce de rutas relacionada con el uso de valores de etiquetas no saneados para generar nombres de archivo. Esto expone los sistemas a escrituras arbitrarias de archivos, manipulación de registros y posible ejecución de código.
• CVE‑2025‑12970: Un desbordamiento del búfer de pila en el complemento de entrada Docker Metrics (in_docker). La creación de contenedores con nombres demasiado largos podría provocar un fallo o la ejecución remota de código.
• CVE‑2025‑12978 – Una falla lógica en la coincidencia de etiquetas que permite falsificar etiquetas confiables adivinando solo el carácter inicial de una Tag_Key, lo que permite a los atacantes redirigir registros, eludir el filtrado e inyectar registros manipulados.
• CVE‑2025‑12977 – Validación incorrecta de etiquetas derivadas de campos controlados por el atacante. La entrada maliciosa puede inyectar secuencias transversales, saltos de línea o caracteres de control que corrompen las secuencias de registro posteriores.
• CVE‑2025‑12969: Autenticación faltante en el complemento in_forward utilizado por las instancias de Fluent Bit que se comunican mediante el protocolo Forward. Esta omisión permite la inyección de registros falsificados o la saturación de las herramientas de seguridad posteriores con eventos falsificados.

Impacto potencial en las operaciones en la nube

En conjunto, estas vulnerabilidades ejercen una gran influencia sobre cómo Fluent Bit recopila, procesa y almacena datos de telemetría. Un atacante decidido podría redirigir o suprimir eventos esenciales, introducir información engañosa, eliminar indicios de intrusión o activar la ejecución de código malicioso mediante registros manipulados. Dada la amplia adopción de Fluent Bit, estos riesgos amenazan la fiabilidad de los entornos de nube empresarial y la fiabilidad de su infraestructura de registro.

Parches y orientación de proveedores

Los problemas se resolvieron tras una divulgación coordinada, y se proporcionaron correcciones en las versiones 4.1.1 y 4.0.12 de Fluent Bit, lanzadas en octubre de 2025. AWS, que también participó en el proceso de divulgación, recomienda a todos los clientes que utilizan Fluent Bit que actualicen rápidamente para permanecer protegidos.

Recomendaciones de seguridad

Para reducir la exposición y fortalecer los canales de monitoreo, los expertos recomiendan reforzar la configuración y restringir las superficies de ataque. Las principales acciones defensivas incluyen:

Evite usar etiquetas dinámicas para el enrutamiento y restrinja las rutas de salida para evitar la expansión o el recorrido de rutas impulsado por etiquetas.

Monte directorios de configuración como /fluent-bit/etc/ como de solo lectura, bloquee la manipulación en tiempo de ejecución y ejecute Fluent Bit en cuentas que no sean root.

Contexto de descubrimientos anteriores

Esta divulgación surge tras una vulnerabilidad previa de Fluent Bit, reportada hace más de un año: CVE‑2024‑4323, también conocida como Linguistic Lumberjack. Esta falla afectó al servidor HTTP integrado del agente y expuso las instancias a ataques de denegación de servicio (DoS), exposición de datos o ejecución remota de código. Los problemas recientemente identificados subrayan la importancia de proteger las herramientas de telemetría, que constituyen la base de la observabilidad en la nube.