JVNVU#98826583
Fluent Bitにおける複数の脆弱性

Fluent Bitには複数の脆弱性が存在します。

• Fluent Bit 4.0.12より前の4.0系バージョン
• Fluent Bit 4.1.1より前の4.1系バージョン

Fluent Bitは、クラウド環境やコンテナ環境で使用されているロギング、メトリクス、トレースのプロセッサおよびフォワーダーです。Fluent Bitにはタグの処理方法や各種プラグインに起因した、以下の複数の脆弱性が存在します。

• out_fileプラグインにおける、出力ファイルのパスを生成する際にタグ値を適切にサニタイズしない問題（CVE-2025-12972）
• in_docker入力プラグインにおける、extract_name関数がコンテナ名の長さを検証しない問題（CVE-2025-12970）
• in_forward入力プラグインにおける、security.users認証メカニズムが強制されない問題（CVE-2025-12969）
• in_http、in_splunk、in_elasticsearch入力プラグインにおける、tag_keyのサニタイズに失敗する問題（CVE-2025-12977）
• in_http、in_splunk、in_elasticsearch入力プラグインにおける、tag_keyのキーの長さの検証不備（CVE-2025-12978）

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• Fluent Bitインスタンスにアクセス可能な攻撃者によって、意図しないディレクトリにファイルを書き込まれる（CVE-2025-12972）
• コンテナの作成やコンテナ名の制御が可能な攻撃者によって、プロセスをクラッシュさせられたり任意のコードを実行されたりする（CVE-2025-12970）
• Fluent Bitインスタンスにアクセス可能な攻撃者によって、偽のログを混入されたり、ログルーティングを変更されたりする（CVE-2025-12969）
• Fluent Bitインスタンスにアクセス可能もしくはSplunk、Elasticsearchへのレコード書き込み権限を持つ攻撃者によって、偽のログを混入されたり、ログルーティングを変更されたりする（CVE-2025-12977、CVE-2025-12978）

アップデートする
本脆弱性を修正したバージョン4.0.12、4.1.1、4.2.0がリリースされています。開発者が提供する情報をもとに最新版にアップデートしてください。