CVE-2024-50608

Fluent Bit 3.1.9 sürümünde bir sorun tespit edildi. Prometheus Remote Write giriş eklentisi çalışırken ve bir IP adresi ile port üzerinden dinleme yaparken, Content-Length: 0 içeren bir paket gönderilmesi sunucunun çökmesine neden olmaktadır. Content-Length değerinin 0 olduğu durumun hatalı işlenmesi, uç noktaya erişimi olan bir kullanıcının uzaktan hizmet reddi (Denial of Service) saldırısı gerçekleştirmesine olanak tanır. Çökme, Content-Length'den gelen 0 değerinin cfl_sds_len fonksiyonuna aktarılmasıyla meydana gelen bir NULL pointer dereference nedeniyle oluşur; bu fonksiyon sırasıyla bir NULL pointer'ı struct cfl_sds yapısına dönüştürmeye çalışır. Bu durum, prom_rw_prot.c dosyasındaki process_payload_metrics_ng() ile ilgilidir.