重要な脆弱性情報 1. 脆弱性の概要 脆弱性の数: 5つの重要脆弱性 脆弱性の影響: 攻撃者に認証回避、パストラバーサル実行、リモートコード実行、サービス拒否状態の引き起こし、ラベルの操作を許可する。 2. 脆弱性の詳細 CVE-2025-12972: フィルタリングされていないラベル値が出力ファイル名の生成に使用され、攻撃者にパストラバーサルシーケンスのインジェクト、任意のディスクファイルの書き込みまたは上書き、多くの設定下での任意コード実行を許可する。 CVE-2025-12970: Docker入力のスタックバッファオーバーフロー脆弱性により、攻撃者がクラッシュを引き起こしたり、超長名のコンテナを作成してコードを実行したりできる。 CVE-2025-12978: Fluent Bitのラベル一致ロジックにおける欠陥により、攻撃者は信頼されたラベルを推測して偽造し（ラベルキーの最初の文字のみを推測）、フィルターを回避して悪意のあるまたは誤解を招くレコードをインジェクトできる。 CVE-2025-12977: ユーザー制御フィールドから派生したラベルが通常のクリーンアッププロセスを回避し、攻撃者に改行、パストラバーサルシーケンス、制御文字のインジェクトを許可する。これにより、解析されたダウンストリームログなどが破壊され、ファイルの上書き、悪意あるファイルの設置、またはリモートコード実行につながる。 CVE-2025-12969: Fluent BitフォワーダーがSecurity.Usersを持つように設定されている場合、ユーザーは認証を静かに無効にでき、攻撃者にログの送信、偽造テレメトリデータのインジェクト、または検出システムの飽和化を許可する（外見上は安全に見えたとしても）。 3. 影響を受けるコンポーネントとバージョン Fluent Bit: 安全でないラベル、ファイル出力、およびプラグイン設定の使用に構成されたバージョンのコンポーネント。 4. 脆弱性緩和策 Fluent Bitを最新安定版v4.1.1/4.0.12に更新する ルーティング構成に動的ラベルを使用しない 出力パスと宛先をロックし、ファイルまたはファイルパラメータを明示的に設定して、ラベルベースのパス拡張またはトラバーサルを防止する Fluent Bitを最小限の権限で実行する 読み取り専用の構成マウントを強制する 補足説明 AWSはFluent Bitに依存するすべての内部システムを修復済みであり、顧客に最新バージョンv4.1.1へのアップグレードを推奨している。 Fluent Bitは現代のコンテナ化環境の中核をなしており、これらの脆弱性は広く展開されたコンポーネント内の弱点が外部へ波及し、攻撃者に悪意ある活動の隠蔽、データの改ざん、さらに現代のビジネスに依存するインフラストラクチャーの侵害を可能にする可能性を示している。