「logging-operator」の脆弱性 CVE-2026-54680

どんな危険があるか

Logging operatorには、Fluentd設定インジェクションの脆弱性が存在します。攻撃者は、適切な権限でFlowリソースを作成することで、エスケープされていない値を悪用し、Fluentd設定ファイルに任意のFluentdブロックを注入できます。これにより、Fluentdアグリゲーター上で任意のコマンド実行が可能となり、システムへの不正アクセスやデータの改ざん、情報漏洩などの深刻な影響が発生する恐れがあります。本脆弱性はCVSSv3.1で9.9と評価される極めて危険な問題です。

今すぐやること

本脆弱性の影響を受けるLogging operatorのバージョンが6.6.0より前の場合、速やかにバージョン6.6.0以降へアップグレードしてください。アップグレードにより、Fluentd設定インジェクションの脆弱性が修正され、任意のコマンド実行のリスクを排除できます。詳細は、GitHubで公開されているセキュリティアドバイザリやリリースノートを参照し、ご自身の環境への影響を評価した上で、計画的な対応を実施してください。