CVE-2026-33728

dd-trace-java, Java için bir Datadog APM istemcisidir. dd-trace-java'nın 0.40.0 ile 1.60.2 öncesindeki sürümlerinde, RMI instrumentation'ı gelen verileri serileştirme filtreleri uygulamadan deserialize eden özel bir uç nokta kaydetmiştir. JDK sürüm 16 ve öncesinde, instrument edilmiş bir JVM üzerindeki JMX veya RMI portuna ağ erişimi olan bir saldırgan, bunu potansiyel olarak uzaktan kod çalıştırma sağlamak için istismar edebilir. Bu zafiyeti istismar etmek için aşağıdaki üç koşulun tamamı karşılanmalıdır: Birincisi, dd-trace-java, Java 16 veya daha eski bir sürümde Java ajanı (`-javaagent`) olarak eklenmiş olmalıdır. İkincisi, `-Dcom.sun.management.jmxremote.port` aracılığıyla açıkça bir JMX/RMI portu yapılandırılmış olmalı ve bu porta ağ üzerinden erişilebilmelidir. Üçüncüsü, classpath üzerinde gadget-chain uyumlu bir kütüphane bulunmalıdır. JDK >= 17 için herhangi bir işlem gerekmemektedir ancak yükseltme yapılması şiddetle önerilir. JDK >= 8u121 < JDK 17 için dd-trace-java sürüm 1.60.3 veya daha yeni bir sürüme yükseltin. Serileştirme filtrelerinin mevcut olmadığı JDK < 8u121 ve önceki sürümler için geçici çözümü uygulayın. Geçici çözüm, RMI entegrasyonunu devre dışı bırakmak için şu ortam değişkenini ayarlamaktır: `DD_INTEGRATION_RMI_ENABLED=false`.