PT-2026-60363
CVE-2026-50274
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات dd-trace-go الأقدم من 2.8.1
الوصف
تفشل مكتبات التتبع Datadog التي تنفذ انتشار الباغاج (baggage) وفقًا لمعايير W3C في فرض قيود على عدد العناصر أو إجمالي البايتات عند تحليل رؤوس HTTP للباغاج الواردة أثناء عملية الاستخراج. وعلى الرغم من تحديد الحدود بواسطة
DD TRACE BAGGAGE MAX ITEMS وDD TRACE BAGGAGE MAX BYTES، إلا أنها لم تُطبق إلا على حقن الباغاج. يمكن لمهاجم بعيد غير مصدق هويته استغلال هذه الثغرة عن طريق إرسال طلب يحتوي على رأس «baggage» يضم عددًا كبيرًا للغاية من أزواج المفاتيح والقيم المفصولة بفواصل أو قيمة واحدة كبيرة الحجم. يؤدي ذلك إلى إجبار أداة التتبع على تخصيص إدخال في خريطة التجزئة لكل زوج، مما يؤدي إلى استهلاك غير محدود لوحدة المعالجة المركزية (CPU) والذاكرة، وهو ما ينتج عنه رفض الخدمة لخدمات HTTP التي تم تمكين انتشار «baggage» فيها. يتم تمكين نمط الانتشار هذا افتراضيًا في معظم أدوات التتبع المتأثرة.التوصيات
تحديث dd-trace-go إلى الإصدار 2.8.1 أو أحدث.
تعطيل استخراج البيانات الزائدة عن طريق إزالة
baggage من المتغيرات DD TRACE PROPAGATION STYLE أو DD TRACE PROPAGATION STYLE EXTRACT.تحديد الحد الأقصى لحجم رأس طلب HTTP في الوكيل أو خادم الويب الأعلى.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾