Từ chối dịch vụ từ xa không cần xác thực trong nguồn logstash của vectordotdev Vector

Vector là một data pipeline observability hiệu năng cao. Từ 0.15.0 đến trước 0.57.0, source logstash đọc độ dài frame nén 32-bit từ mạng và dùng nó để xác định kích thước buffer trong bộ nhớ mà không có giới hạn trên. Một peer từ xa không cần xác thực có thể truy cập listener mặc định 0.0.0.0:5044 và gửi một frame tối thiểu khai báo payload nhiều gigabyte, gây ra việc cấp phát quá mức có thể làm Vector bị abort hoặc kích hoạt OOM killer của host. Vì việc cấp phát dựa trên độ dài được khai báo thay vì số byte đã truyền, attacker chỉ cần chi phí tài nguyên thấp, và việc process bị kết thúc có thể làm dừng ingest log cho mọi tenant trên một pipeline dùng chung. Vấn đề này được sửa trong phiên bản 0.57.0.

• vectordotdev Vector bị ảnh hưởng trong >= 0.15.0, < 0.57.0. Điều kiện phơi nhiễm là deployment bật source logstash và attacker có thể kết nối tới listener của source.
• Advisory xác định listener mặc định là 0.0.0.0:5044 và không có authentication mặc định.
• Bản đã sửa là 0.57.0; advisory của vendor nêu rằng vấn đề được xử lý trong 0.57.0 và các bản phát hành sau đó.
• Không có nhánh song song hoặc bản backport riêng nào được xác định trong các facts đã cung cấp hoặc advisory đã xem.

Nguồn logstash đọc một độ dài frame nén 32-bit do peer trên mạng cung cấp và dùng giá trị đó để xác định kích thước buffer trong bộ nhớ mà không có giới hạn trên. Điều này tạo ra sự không nhất quán giữa độ dài được khai báo và số byte thực tế được truyền, phù hợp với CWE-130, đồng thời cho phép cấp phát bộ nhớ quá lớn, phù hợp với CWE-789. Peer từ xa không cần xác thực chỉ cần kết nối được tới listener của source; advisory xác định 0.0.0.0:5044 là địa chỉ bind mặc định và cho biết source không có authentication mặc định. Một frame tối thiểu khai báo payload nhiều gigabyte có thể khiến Vector cố gắng cấp phát lượng bộ nhớ rất lớn dù attacker chỉ gửi rất ít dữ liệu. Các kết quả được xác nhận là process bị abort hoặc host kích hoạt OOM killer, có thể gây gián đoạn việc ingest log trên toàn bộ pipeline dùng chung. Tài liệu đã xem không xác định giới hạn bộ nhớ cụ thể hoặc trong mọi deployment thì Vector hay host sẽ bị kết thúc trước.

• Khả năng truy cập: Cần kết nối mạng tới listener của source đang được bật; không yêu cầu quyền truy cập cục bộ.
• Xác thực và tương tác: Không cần authentication và không cần user interaction theo record và advisory.
• Độ phức tạp và chi phí: Attack complexity thấp; một frame tối thiểu có thể khiến hệ thống cấp phát bộ nhớ dựa trên độ dài được khai báo, nên chi phí tài nguyên phía attacker thấp.
• Trạng thái khai thác: Record đánh dấu public exploit là false và không cung cấp trạng thái known exploited. Advisory được xem không cung cấp public exploit, campaign hoặc IOC cụ thể; điều này không chứng minh rằng exploitation không xảy ra.

Kết quả kỹ thuật chính là mất availability do attacker khiến Vector cấp phát bộ nhớ theo độ dài do attacker khai báo, sau đó process có thể bị abort hoặc host kích hoạt OOM killer. Attacker không cần credential hoặc user interaction, nhưng phải tiếp cận được listener của source và source phải được bật. Trên pipeline dùng chung, phạm vi ảnh hưởng có thể mở rộng tới toàn bộ tenant do cùng một process xử lý ingest. Record không thiết lập ảnh hưởng tới confidentiality hoặc integrity, cũng không cho thấy persistence hay host compromise. Firewall, network policy hoặc TLS client-certificate authentication có thể làm giảm khả năng tiếp cận, nhưng không thay thế việc nâng cấp.

• Tính sẵn sàng: Khai thác thành công có thể kết thúc process Vector hoặc làm host kích hoạt OOM killer, khiến việc ingest log dừng trên process bị ảnh hưởng.
• Phạm vi dịch vụ: Nếu một pipeline phục vụ nhiều tenant, một process bị kết thúc có thể làm gián đoạn ingest log của mọi tenant trên pipeline đó.
• Vận hành và quan sát: Việc mất ingest có thể tạo ra khoảng trống trong observability và làm chậm phát hiện hoặc xử lý sự cố tiếp theo.
• Record và advisory không xác nhận việc rò rỉ dữ liệu, sửa đổi dữ liệu, persistence hoặc chiếm quyền host.

1. Nâng cấp Vector lên 0.57.0. Advisory của vendor nêu vấn đề đã được xử lý trong 0.57.0 và các bản phát hành sau đó; thay đổi liên quan bổ sung giới hạn cho kích thước payload nén và đã giải nén trên các network source.
2. Nếu chưa thể nâng cấp ngay, không expose source logstash tới mạng không tin cậy. Giới hạn listener chỉ cho các peer tin cậy bằng firewall hoặc network policy.
3. Bật yêu cầu TLS client-certificate authentication cho source logstash như một biện pháp giảm thiểu được vendor nêu.
4. Áp dụng thay đổi cho mọi instance Vector và mọi pipeline dùng chung, vì chỉ một process còn bị ảnh hưởng cũng có thể làm gián đoạn ingest của nhiều tenant.

1. Lập inventory các instance Vector, phiên bản đang chạy và các deployment đã bật source logstash; đối chiếu với ranh giới affected release.
2. Kiểm tra cấu hình bind và khả năng truy cập mạng của listener, đặc biệt là 0.0.0.0:5044, cùng firewall hoặc network policy đang áp dụng.
3. Xác minh listener không bị expose tới mạng không tin cậy; nếu chưa thể nâng cấp, kiểm tra việc sử dụng TLS client-certificate authentication.
4. Rà soát process và host telemetry để tìm Vector bị abort, sự kiện OOM killer hoặc gián đoạn ingest log. Đây là các dấu hiệu vận hành cần kiểm tra, không phải IOC được advisory xác nhận.
5. Advisory không cung cấp log signature hoặc network IOC đặc thù, vì vậy không thấy các dấu hiệu này không chứng minh hệ thống an toàn.