Phân bổ bộ nhớ không giới hạn trong Elastic Filebeat có thể gây từ chối dịch vụ

Lỗi Phân bổ tài nguyên không có giới hạn hoặc điều tiết (CWE-770) trong Filebeat có thể dẫn đến từ chối dịch vụ do Phân bổ quá mức (CAPEC-130). Kẻ tấn công có khả năng truy cập Filebeat HTTP ingestion endpoint có thể gửi các request nén được tạo đặc biệt để làm cạn kiệt tài nguyên bộ nhớ của tiến trình Filebeat.

• Elastic Filebeat 8.x: các phiên bản từ 8.0.0 đến và bao gồm 8.19.17 bị ảnh hưởng. Vấn đề được giải quyết trong Filebeat 8.19.18.
• Elastic Filebeat 9.x: các phiên bản từ 9.0.0 đến và bao gồm 9.3.0 bị ảnh hưởng. Vấn đề được giải quyết trong Filebeat 9.3.1.
• Phạm vi cấu hình: chỉ các triển khai đã bật rõ ràng HTTP endpoint input bị ảnh hưởng. Input này bị tắt theo mặc định; theo thông báo của Elastic, các triển khai chưa bật input này không bị ảnh hưởng.

Elastic Filebeat xử lý các request nén do kẻ tấn công kiểm soát thông qua HTTP ingestion endpoint. Lỗi thuộc CWE-770, trong đó việc xử lý request có thể phân bổ bộ nhớ mà không có giới hạn hoặc cơ chế throttling phù hợp, dẫn đến cạn kiệt bộ nhớ của tiến trình Filebeat. Khai thác có thể thực hiện qua mạng, yêu cầu quyền hạn thấp và không cần tương tác của người dùng. Chỉ các triển khai đã bật rõ ràng HTTP endpoint input nằm trong phạm vi ảnh hưởng; input này bị tắt theo mặc định. Thông tin công khai chưa nêu rõ định dạng nén cụ thể, parser, vị trí phân bổ bộ nhớ hoặc giới hạn tài nguyên bị thiếu.

Khai thác yêu cầu kẻ tấn công có khả năng truy cập đến Filebeat HTTP ingestion endpoint và có quyền hạn thấp. Cuộc tấn công được mô tả là qua mạng, có độ phức tạp thấp và không cần người dùng tương tác. Bản ghi được cung cấp không xác định public exploit; bản ghi GCVE hiện đánh dấu exploitation là none. Elastic cho biết chưa xác định được indicator of compromise cụ thể cho lỗi này. Trạng thái trên không đảm bảo rằng các hình thức khai thác mới sẽ không xuất hiện về sau.

Khai thác thành công có thể làm cạn kiệt bộ nhớ của tiến trình Filebeat và khiến dịch vụ không thể tiếp tục xử lý ingestion bình thường. Tác động được giới hạn ở tính sẵn sàng của tiến trình và các luồng thu thập dữ liệu phụ thuộc vào nó; bản ghi không cho thấy tác động đến tính bí mật hoặc tính toàn vẹn. Kẻ tấn công cần quyền hạn thấp và khả năng tiếp cận endpoint, vì vậy việc bật endpoint trên mạng có thể mở rộng tập nguồn có khả năng gửi request. Thời gian gián đoạn, mức độ mất dữ liệu và khả năng phục hồi tự động không được công bố.

Lỗi có thể làm gián đoạn Filebeat và ngừng hoặc làm suy giảm hoạt động thu thập, chuyển tiếp sự kiện từ các nguồn được cấu hình. Hệ quả có thể gồm khoảng trống trong telemetry, chậm phát hiện sự cố và nhu cầu khôi phục hoặc khởi động lại dịch vụ. Rủi ro chính là tính sẵn sàng; bản ghi không cho thấy việc tiết lộ dữ liệu hoặc thay đổi tính toàn vẹn dữ liệu. Các tổ chức đang dùng HTTP endpoint input cho luồng ingestion cần ưu tiên nâng cấp hoặc tắt input nếu không cần thiết.

1. Nâng cấp Filebeat lên Filebeat 8.19.18 đối với nhánh 8.x bị ảnh hưởng, hoặc lên Filebeat 9.3.1 đối với nhánh 9.x bị ảnh hưởng.
2. Nếu chưa thể nâng cấp ngay, tắt HTTP endpoint input khi chức năng này không cần thiết cho vận hành.
3. Sau khi thay đổi, xác minh phiên bản đang chạy và kiểm tra lại trạng thái HTTP endpoint input trên từng triển khai. Không suy ra trạng thái an toàn của các nhánh hoặc cấu hình không được nêu trong thông báo của Elastic.

1. Kiểm kê các triển khai Filebeat và đối chiếu phiên bản với từng nhánh bị ảnh hưởng.
2. Kiểm tra cấu hình để xác định HTTP endpoint input có được bật rõ ràng hay không. Việc input đang tắt không loại trừ nhu cầu kiểm tra phiên bản, vì trạng thái cấu hình có thể thay đổi.
3. Rà soát các dấu hiệu bất thường về mức sử dụng bộ nhớ, việc Filebeat bị dừng hoặc khởi động lại, trạng thái dịch vụ và khoảng trống trong hoạt động thu thập dữ liệu gần thời điểm HTTP endpoint nhận request. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được Elastic xác nhận.
4. Không coi việc không tìm thấy log hoặc IOC là bằng chứng rằng hệ thống an toàn.