CVE-2026-50270
Açıklama
dd-trace-java, Java için bir Datadog APM istemcisidir. 1.62.0 sürümünden önce, W3C baggage çıkarımı; varsayılan değeri 64 olan DD_TRACE_BAGGAGE_MAX_ITEMS veya varsayılan değeri 8192 olan DD_TRACE_BAGGAGE_MAX_BYTES sınırlarını, bu sınırlar baggage ekleme sırasında uygulansa da zorunlu tutmamaktadır. Uzaktan kimliği doğrulanmamış bir saldırgan, çok sayıda virgülle ayrılmış anahtar-değer çifti veya tek bir çok büyük değer içeren bir baggage HTTP başlığı gönderebilir. Çıkarım yolu, her istekte saldırgan tarafından kontrol edilen başlığı ayrıştırırken harita girişleri tahsis eder; bu durum, çoğu etkilenen izleyici için varsayılan olan baggage yayılım stilinin etkin olduğu bir HTTP servisinde sınırsız CPU ve bellek tüketimine yol açarak hizmet reddine neden olabilir. Bu sorun 1.62.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- com.datadoghq:dd-java-agent1.62.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| com.datadoghq:dd-java-agentMaven | v < 1.62.0 | 1.62.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.