30秒で判断
対応すべき人:
- Kubernetes の logging-operator 6.6.0 より前を使用している
- ユーザーに Flow / ClusterFlow リソースの作成を許可している
対応不要な人:
- logging-operator 6.6.0 以降へアップグレード済み
- Flow リソースの作成権限を信頼できる管理者のみに限定している
- logging-operator を使用していない
確認コマンド:
kubectl get deploy -A -l app.kubernetes.io/name=logging-operator -o wide
概要
logging-operator は Kubernetes のロギングパイプラインの構築・設定を自動化するオペレータです。6.6.0 より前のバージョンでは、FluentdコンフィグレーションレンダラーFluentRender（pkg/sdk/logging/model/render/fluent.go）が、Flow の record_transformer の records 値などのCRD文字列を エスケープせずに fluent.conf へ書き込んで いました。
このため、Flow リソースを作成できるユーザーが Fluentd の設定ディレクティブを注入し、@type exec を利用して Fluentd アグリゲータ内で任意のコマンドを実行 できてしまいます（CWE-74 / CWE-77 インジェクション）。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.9（Critical） |
| CWE | CWE-74 / CWE-77（コマンドインジェクション） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 必要な特権 (PR) | 低 (L)（Flowリソース作成権限） |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| kube-logging/logging-operator | 6.6.0 より前 |
修正バージョンと回避策
修正バージョン: logging-operator 6.6.0
暫定策として、Flow / ClusterFlow リソースの作成権限（RBAC）を信頼できる管理者のみに限定することも緩和策になります。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。