CVE-2026-33728

dd-trace-java, Java üçün nəzərdə tutulmuş Datadog APM klientidir. dd-trace-java-nın 0.40.0 versiyasından 1.60.2 versiyasına qədər olan versiyalarda, RMI instrumentasiyası daxil olan məlumatları serializasiya filtrləri tətbiq etmədən deserializasiya edən xüsusi bir son nöqtə (endpoint) qeydiyyatdan keçirirdi. JDK 16 və daha əvvəlki versiyalarda, instrumentasiya edilmiş JVM-də JMX və ya RMI portuna şəbəkə girişi olan hücumçu bundan istifadə edərək potensial olaraq uzaqdan kodun icrasını (RCE) həyata keçirə bilərdi. Bu zəifliyin istismarı üçün aşağıdakı üç şərt eyni anda yerinə yetirilməlidir: Birincisi, dd-trace-java Java 16 və ya daha əvvəlki versiyada Java agenti (`-javaagent`) kimi qoşulmalıdır. İkincisi, JMX/RMI portu `-Dcom.sun.management.jmxremote.port` vasitəsilə açıq şəkildə konfiqurasiya edilməli və şəbəkə üzərindən əlçatan olmalıdır. Üçüncüsü, classpath-da gadget-chain ilə uyğun kitabxana mövcud olmalıdır. JDK >= 17 üçün heç bir tədbir tələb olunmur, lakin yeniləmə şiddətlə tövsiyə edilir. JDK >= 8u121 < JDK 17 üçün dd-trace-java-nı 1.60.3 və ya daha yeni versiyaya yeniləyin. Serializasiya filtrlərinin mövcud olmadığı JDK < 8u121 və daha əvvəlki versiyalar üçün müvəqqəti həll yolunu (workaround) tətbiq edin. Müvəqqəti həll yolu RMI inteqrasiyasını deaktiv etmək üçün aşağıdakı mühit dəyişənini təyin etməkdir: `DD_INTEGRATION_RMI_ENABLED=false`.