Fluentd v1.19.3은 out_http, buffer/in_http, output 태그 처리의 입력 검증을 강화하고 in_monitor_agent와 in_debug_agent의 기본 접근 범위를 좁힌 보안 강화 패치입니다. 나머지는 일반적인 버그 수정과 소소한 의존성/CI 정리입니다.
securityout_http, buffer/in_http, output 태그 경로 검증 강화
v1.19.3에 무조건 적용됩니다. out_http는 동적 엔드포인트의 호스트명을 엄격히 검증하고, buffer와 in_http는 압축 해제된 페이로드 크기에 제한을 두며, output은 태그 값의 경로 경계를 엄격히 검사합니다. 신뢰할 수 없는 입력으로 호스트나 태그, 페이로드 크기를 구성하는 설정이 있다면 점검이 필요합니다.
breakingin_monitor_agent와 in_debug_agent 기본 노출 범위 축소
v1.19.3에 무조건 적용됩니다. in_monitor_agent는 config, retry, debug 정보의 기본 노출 범위를 변경했고, in_debug_agent는 기본적으로 로컬 머신에서만 접속을 허용합니다. 두 에이전트를 외부에서 접근하거나 전체 출력을 외부에 노출해 쓰고 있었다면, 방화벽 규칙이나 명시적 설정으로 필요한 접근 권한을 다시 열어줘야 합니다.
주요 변경 (7)
- 보안 강화(중간 등급): out_http가 동적 엔드포인트 호스트명을 엄격히 검증합니다.
- 보안 강화(중간 등급): buffer와 in_http가 압축 해제된 페이로드 크기를 제한해 압축 폭탄류 위험을 막습니다.
- 보안 강화(중간 등급): output이 태그 값의 경로 경계를 엄격히 검사합니다.
- 기본 설정 변경: in_monitor_agent가 config, retry, debug 정보의 기본 노출 범위를 줄였습니다.
- 기본 설정 변경: in_debug_agent가 기본적으로 로컬 머신에서만 접속을 허용합니다.
- 버그 수정: storage_local의 비ASCII 문자 읽기 인코딩 오류, parser_csv의 빈 줄/파싱 불가 줄 스킵 처리, out_forward가 원격 연결 끊김 후 닫힌 keepalive 소켓을 재사용하지 않도록 수정, buffer 경로에 대괄호가 있어도 정상 재개.
- 그 외 소소한 변경: Ruby 4.1용 런타임 의존성으로 win32-registry 추가, 에러 메시지 중복 단어 제거, Windows 종료 시 타임아웃 체크 단축, 기본 timekey(1d) 사용 시 경고 추가, 백신 제외 경로 권장 문서화, 각종 CI 수정.