CVE-2023-31413

Este é um problema de segredos em logs, não uma invasão. A entrada httpjson do Filebeat, quando o log de depuração está ligado, grava o cabeçalho Authorization ou Proxy-Authorization de saída em seus próprios logs — então a própria credencial que o Filebeat usa para alcançar uma API acaba em texto claro onde quer que esses logs parem. Nada é executado e nada é remotamente alcançável; a falha é que um token que você pretendia manter secreto vaza para um destino de menor confiança.

A pontuação é um 3.3 genuíno e as pré-condições o justificam: um atacante precisa de acesso local aos logs, o log de depuração precisa estar habilitado e a entrada httpjson precisa estar em uso com requisições autenticadas. Essa é uma pilha específica de condições, e o log de depuração costuma ser um estado temporário de resolução de problemas, não algo permanente. O dano realista é uma credencial capturada ampliando silenciosamente um ponto de apoio que alguém já tem.

Mantemos isso em baixa prioridade e tratamos como item de higiene, não como emergência de correção. O ângulo que importa é para onde os logs do Filebeat são enviados — muitas vezes para a mesma plataforma centralizada de logging que muitas equipes conseguem ler — então um token de API vazado pode viajar muito mais longe do que o host que o registrou. Nosso acompanhamento é delimitado: localizar implantações do Filebeat até a 7.17.9 e a 8.6.2 usando httpjson com depuração habilitada e rotacionar qualquer credencial que possa ter sido registrada.