В компоненте FluentRender контроллера logging-operator есть уязвимость внедрения команд. Причина в неверной нейтрализации особых символов в выходных данных. Злоумышленник, который действует удалённо и располагает учётной записью с низкими привилегиями, может выполнить произвольный код. Затронуты версии logging-operator до 6.5.2 включительно, исправление появилось в 6.6.0. Опасность оценили в 9,9 балла по CVSS 3.1, это критический уровень.
Уязвимость CVE-2026-54680 в logging-operator
logging-operator - открытый инструмент сообщества kube-logging, который разворачивает и настраивает сбор логов в Kubernetes (платформа оркестрации контейнеров). Он управляет Fluentd, сборщиком данных, читающим логи с узлов кластера и отправляющим их в хранилища и аналитические системы. Контроллер следит за описаниями объектов в кластере и превращает их в конфигурацию для Fluentd. Ошибка возникла на стыке этих двух частей.
Компонент FluentRender готовит выходные данные, которые затем попадают в конфигурацию сборщика. Особые символы в этих данных он обрабатывает неверно. Классификация относит проблему к двум типам ошибок: CWE-74, то есть инъекция, и CWE-77 - внедрение в команду. Практический смысл простой. Злоумышленник подставляет в поле, которое считается обычным текстом, конструкцию, а система воспринимает её как команду. Выполняется она с правами процесса. Поэтому внедрение и приводит к запуску постороннего кода.
Производитель подтвердил уязвимость. Атака идёт по сети, особой сложности в ней нет, но нужна действующая учётная запись с низкими привилегиями - иначе говоря, доступ внутрь кластера. Эксплойт уже выложили в открытый доступ, а значит, проверять уязвимость можно без собственных исследований. Порог входа для злоумышленника падает. К тому же агенты Fluentd обычно стоят на каждом узле и собирают логи всех приложений. Компрометация одного развёртывания открывает поток данных сразу многих сервисов. В логах нередко оказываются токены доступа, адреса внутренних сервисов и фрагменты персональных данных.
Затронуты в первую очередь организации, которые собирают логи Kubernetes штатными средствами проекта, а не самописными скриптами. Это типовой сценарий для крупных инфраструктур: банков, телекома, промышленных компаний, у которых десятки и сотни приложений пишут телеметрию в общее хранилище. Оценка 9,9 учитывает смену области воздействия: последствия выходят за пределы самого компонента, поэтому права пользователя, получившего доступ к контроллеру, уже не ограничиваются одним пространством имён.
Исправление вышло в версии 6.6.0. Разработчики опубликовали релиз вместе с бюллетенем безопасности, а сама уязвимость попала в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-16237. Дату выявления в источнике указывают как 8 июня 2026 года - то есть речь идёт о свежей ошибке, а не о давно известной проблеме, которую годами не могли закрыть.
Администраторам кластеров имеет смысл сверить установленную версию logging-operator с границей 6.5.2 и поднять развёртывание до 6.6.0. Производитель называет единственный способ устранения - обновление программного обеспечения; отдельных обходных мер для этой уязвимости он не приводит, и подменять обновление настройками не стоит. Проверить стоит и промежуточные сборки: если обновление ставили недавно и точная версия не зафиксирована, лишняя проверка не помешает. Наличие публичного эксплойта делает промедление нежелательным, поскольку готовый код снимает необходимость разбираться в устройстве компонента.
Сборщики логов давно стали частью инфраструктуры, а не вспомогательным сервисом. Они работают на всех узлах кластера и видят данные приложений целиком. Ошибка в одном звене такой системы даёт злоумышленнику ту же глубину доступа, что и уязвимость в самом приложении. Обновление до 6.6.0 закрывает конкретный случай, но сам класс ошибок - неверная обработка данных на пути между текстовым полем и исполняемой командой - будет возникать и дальше, в том числе в инструментах, которым доверяют именно из-за их близости к инфраструктуре.
Ссылки
- https://bdu.fstec.ru/vul/2026-16237
- https://www.cve.org/CVERecord?id=CVE-2026-54680
- https://github.com/kube-logging/logging-operator/commit/cf437d7f1e056c78740bf5716ac8bdebcf002425
- https://github.com/kube-logging/logging-operator/releases/tag/6.6.0
- https://github.com/kube-logging/logging-operator/security/advisories/GHSA-mjqf-28ph-426h
