Fluentdのパストラバーサルの脆弱性CVE-2026-44024
ログ収集ソフトFluentdの1.19.3より前の版では、${tag}プレースホルダの検証が不十分なため、パストラバーサル文字を含む信頼できないタグを送った攻撃者が任意のファイルを書き込み・上書きでき、リモートでのコード実行に至るおそれがある［13］。開発元のFluentd Projectは、このCVE-2026-44024を含む脆弱性をv1.19.3で修正し、その修正の不備をv1.19.4で直した［1、6］。
脆弱性の内容
Fluentdは、2011年にTreasure Dataの共同創業者が作ったオープンソースのデータ収集ソフトで、2019年4月にCNCFのGraduated Projectになった［22］。
クリアコードの2026年6月26日の日本語の告知によると、プレースホルダーにtagを指定している場合、設定ファイルの書き方や実行権限が不適切だと、任意のパスにファイルを書き込まれ、リモートからコードを実行できる［4］。クリアコードは、情報セキュリティ早期警戒パートナーシップガイドラインに基づき、JVNで脆弱性を公表・修正したと説明した［4］。
Security NEXTは6月29日の記事で、設定や実行権限によっては、重要なシステムファイルの上書きや設定ファイルの変更、プラグインの挿入などにより、リモートよりコードを実行されるおそれがあると報じた［20］。
| CVE | 概要 | 成立条件 | CVSS | 資料 |
|---|---|---|---|---|
| CVE-2026-44024 | ${tag}プレースホルダにおけるパストラバーサル（CWE-22） | out_fileなど${tag}からファイルパスを組み立てる出力プラグインの設定と、そのFluentdに信頼できないタグを送れること | v3 9.8（Fluentd Project）、v4.0 9.3（JVN） | ［1、10、12］ |
| CVE-2026-44025 | Monitor Agent APIによる機微情報の露出（CWE-306）。応答に、データベースのパスワード、APIキー、クラウドの認証情報を含みうる内部の変数が入る | - | v3 7.5 | ［1、14］ |
| CVE-2026-44160 | in_httpとin_forwardのgzip展開によるDoS（CWE-409）。圧縮後のサイズにだけ制限をかけ、展開でメモリが枯渇しうる | - | v3 7.5 | ［1、15］ |
| CVE-2026-44161 | out_httpのプレースホルダ展開によるSSRF（CWE-918） | out_httpのendpointのプレースホルダの値が信頼できない入力に由来すること | v3 7.2 | ［1、16］ |
| CVE-2026-44162 | fluent-plugin-s3のin_s3における高圧縮データの不適切な処理（CWE-409）〔注1〕 | - | - | ［12、17］ |
| CVE-2026-44163 | fluent-plugin-opentelemetryのin_opentelemetryにおける高圧縮データの不適切な処理（CWE-409） | - | v3.1 5.3 | ［12、18］ |
JVNは、CVE-2026-44024の影響を「管理者権限を有するプロセスで任意のシステム領域のファイルを書き換えられる」とした［12］。この脆弱性情報は、開発者がIPAに報告し、JPCERT/CCが開発者との調整を行ったものである［12］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-44024の番号が予約された | ［13］ |
| 2026年 | Fluentd Project | Fluentd v1.19.3を公開した | ［1］ |
| 2026年 | Fluentd Project | fluent-package LTS v6.0.4を公開した | ［2］ |
| 2026年 | クリアコード | v1.19.3とv6.0.4の日本語の告知を出した | ［4、5］ |
| 2026年 | JPCERT/CC・IPA | JVN#36011274を公表した | ［12］ |
| 2026年 | CVE Program | CVE-2026-44024、44025、44160、44161の記録を公開した | ［13、14、15、16］ |
| 2026年 | NIST | NVDでCVE-2026-44024を公開した | ［19］ |
| 2026年 | CVE Program | CVE-2026-44162の記録を公開した | ［17］ |
| 2026年 | CVE Program | CVE-2026-44163の記録を公開した | ［18］ |
| 2026年 | Fluentd Project | Fluentd v1.19.4とfluent-package LTS v6.0.5を公開した | ［6、7］ |
| 2026年 | クリアコード | v1.19.4とv6.0.5の日本語の告知を出した | ［8、9］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Fluentd | v1.19.3より前 | v1.19.3 | ［3、12］ |
| fluent-plugin-s3 | 1.8.5より前 | 1.8.5 | ［1、12］ |
| fluent-plugin-opentelemetry | 0.5.3より前 | 0.5.3 | ［1、12］ |
| fluent-package LTS版 | v6.0.3以前 | v6.0.4 | ［2］ |
| fluent-package通常版 | v6.0.0 | 修正版の予定はまだ無い（LTS版の利用の検討を求めた） | ［2］ |
| fluent-package LTS版 | v5.0.9以前 | なし（v5.0.xはEOLに達した） | ［2］ |
| fluent-package通常版 | v5.2.0以前 | なし（v5.xはEOLに達した） | ［2］ |
| td-agent | すべての版 | なし（EOLに達した） | ［2］ |
Red Hatは7月8日に公開した評価で、CVE-2026-44024の重大度をImportantとし、現在どのRed Hat製品もこの脆弱性の影響を受けないと判断した［10］。DebianのSecurity Trackerは、CVE-2026-44024を「NOT-FOR-US: Fluentd」と記載している［11］。
悪用の状況
CISAが7月9日にCVE-2026-44024の記録へ加えたSSVCの評価では、Exploitationがnone、Automatableがyes、Technical Impactがtotalだった［13］。Daily CyberSecurityは7月1日の記事で、公開の実証コードも実際の攻撃も確認されていないと報じた［21］。
修正と回避策
Fluentd Projectは6月25日の告知で、多くの場合、閉じた信頼できるネットワークで運用しているFluentdに問題は無いとした［1］。すぐに更新できなければ、告知に挙げたアドバイザリの緩和策を検討するよう求めた［1］。
CVE-2026-44024の回避策には、ネットワークアクセスの制限、root以外のユーザーでの実行、shared_keyによる認証、受け取る信頼できないタグの除去を挙げた［1］。CVE-2026-44025の回避策は、in_monitor_agentへのネットワークアクセスの制限と、localhostからの接続だけの許可である［1］。v1.19.3では、monitor_agentのinclude_configの既定値がfalseに変わり、既定値がfalseのinclude_retryとinclude_debug_infoが加わった［1］。
Fluentd Projectは設定の文書で、v1.19.3からは${tag}と${key}に入る値を検証し、親ディレクトリの参照（../か..\）を含む値と、区切り文字（/か\）で始まる値を拒むと説明している［23］。検証に失敗すると「Fluent::UnrecoverableError」となり、チャンクは再試行されずにsecondaryかバックアップのディレクトリへ移される［23］。検証はプレースホルダを実際に使う箇所だけに働き、${tag}の無いパラメータでは../を含むタグにも害は無い［23］。
Red Hatの評価によると、out_fileのpathなどファイルパスを使う出力プラグインの設定で${tag}を使わないことが緩和策になり、使う場合は許可リストか正規表現でタグの値を制限する［10］。forwardとHTTPの入力を信頼できないネットワークに直接さらさないことも、緩和策に挙がっている［10］。
クリアコードは日本語の告知で、閉域網（信頼されているネットワーク内）での利用には影響ないとした［5］。回避策には、in_forwardへのアクセスの制限、非root権限での実行、設定ファイルの修正、信頼できないtagの除去を挙げた［5］。v6.0.4で修正された脆弱性が設定に影響するかを診断する支援ツールfluent-vulnerability_checkerも公開した［5］。Fluentd Projectは6月26日のfluent-packageの告知で、Fluentdは通常は内部・信頼できるネットワークに置かれるので影響しないだろうとしたうえで、v6.0.4への更新を推奨している［2］。
v1.19.4で直した修正の不備
Fluentd Projectの9月29日の告知では、v1.19.3の修正は不完全で、出力プラグインでは「..」だけのタグによってパストラバーサルの防止を回避できた［6］。Fluentd ProjectはCVSS v3を7.5（High）〔注2〕とした［6］。回避策には、信頼できる閉じたネットワーク内に接続を限ること、root以外での実行、出力プラグインのpathで${tag}を使わないこと、受け取った信頼できないタグのフィルタを挙げた［6］。v1.19.4はfluent-package LTS v6.0.5に同梱され、v6.0.5はv1.19.4で直した脆弱性を修正した［6、7］。
クリアコードは9月29日の日本語の告知で、v1.19.3の脆弱性修正の一部に不備が見つかったとして、v1.19.4への更新を推奨している［8］。この不備の影響を受けるLTS版は、v6.0.4以前のすべての版とした［9］。
未公表の事項
- CVE-2026-44024の発見者
- v1.19.4で直した修正の不備のCVE番号（Fluentd Projectは9月29日の告知で採番待ちとした［6］）
- Fluentdの影響を受ける導入の数
注
出典
当事者
- ［1］Fluentd Project『Fluentd v1.19.3 has been released』（2026年6月25日公開）
- ［2］Fluentd Project『Fluent Package v6.0.4 has been released』（2026年6月26日公開）
- ［3］Fluentd Project『Security Advisories』（公開日不明、2026年11月7日閲覧）
- ［4］株式会社クリアコード『Fluentd v1.19.3をリリース』（2026年6月26日公開）
- ［5］株式会社クリアコード『LTS版 Fluent Package v6.0.4をリリース』（2026年6月26日公開）
- ［6］Fluentd Project『Fluentd v1.19.4 has been released』（2026年9月29日公開）
- ［7］Fluentd Project『Fluent Package v6.0.5 has been released』（2026年9月29日公開）
- ［8］株式会社クリアコード『Fluentd v1.19.4をリリース』（2026年9月29日公開）
- ［9］株式会社クリアコード『LTS版 Fluent Package v6.0.5をリリース』（2026年9月29日公開）
関係組織
- ［10］Red Hat, Inc.『CVE-2026-44024』（2026年7月8日公開）
- ［11］Debian Project『CVE-2026-44024』（公開日不明、2026年11月7日閲覧）
公的機関
- ［12］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVN#36011274: Fluentdにおける複数の脆弱性』（2026年6月29日公開）
- ［13］CVE Program『CVE-2026-44024』（2026年7月8日公開）
- ［14］CVE Program『CVE-2026-44025』（2026年7月8日公開）
- ［15］CVE Program『CVE-2026-44160』（2026年7月8日公開）
- ［16］CVE Program『CVE-2026-44161』（2026年7月8日公開）
- ［17］CVE Program『CVE-2026-44162』（2026年9月14日公開）
- ［18］CVE Program『CVE-2026-44163』（2026年9月15日公開）
- ［19］National Institute of Standards and Technology『CVE-2026-44024』（2026年7月8日公開、2026年10月25日更新）
報道機関
- ［20］ニュースガイア株式会社『ログ収集ツール「Fluentd」に深刻な脆弱性 - 修正版を公開』（2026年6月29日公開）
- ［21］Daily CyberSecurity『Fluentd Vulnerabilities Patched in v1.19.3, Including Critical RCE』（2026年7月1日公開）
背景資料
- ［22］Fluentd Project『Fluentd has Graduated!』（2019年4月11日公開）
- ［23］Fluentd Project『Config: Buffer Section』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年7月1日：公開した。
- 2026年7月8日：CVE Programが公開したCVE-2026-44024、44025、44160、44161の記録（出典13、14、15、16）とNVDの記録（出典19）を「脆弱性の内容」の表と時系列に、Red Hatの評価（出典10）を「対象の製品と版」と「修正と回避策」に加えた。
- 2026年7月9日：CISAがCVE-2026-44024の記録（出典13）に加えたSSVCの評価を「悪用の状況」に加えた。
- 2026年9月14日：CVE Programが公開したCVE-2026-44162の記録（出典17）を「脆弱性の内容」の表と時系列に加えた。
- 2026年9月15日：CVE Programが公開したCVE-2026-44163の記録（出典18）を「脆弱性の内容」の表と時系列に加えた。
- 2026年9月29日：Fluentd Projectのv1.19.4とfluent-package LTS v6.0.5の告知（出典6、7）とクリアコードの日本語の告知（出典8、9）を加え、「修正と回避策」に修正の不備の小節を立て、リード・時系列・未公表の事項・注を改めた。
- 2026年10月25日：NVDのCVE-2026-44024の記録（出典19）の10月25日の更新を出典の行に加えた。