Podatności dd-trace-py

Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 3.13.0 do 4.15.5 nieprawidłowo obsługuje niektóre błędy wewnętrzne w instrumentacji przetwarzania ciągów IAST podczas formatowania % w starym stylu na danych kontrolowanych przez atakującego. Nieobsłużony błąd może zakończyć proces Pythona i przerwać wykonywaną pracę.

Datadog dd-trace-py, klient APM dla Pythona, w wersjach od 1.5.0 do 3.19.9 oraz do 4.15.6 ma domyślne wyrażenie regularne zaciemniania ciągów zapytań, które może wykazywać nadmierne cofanie podczas synchronicznego przetwarzania ciągów zapytań URL kontrolowanych przez atakującego na potrzeby metadanych spanów HTTP. Zdalny atakujący może spowodować długotrwałe zużycie CPU, opóźnienia żądań i niedostępność usługi.

Biblioteka dd-trace-py (Python) dla Datadog nie ogranicza liczby ani rozmiaru elementów w nagłówkach W3C baggage podczas ekstrakcji. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużą liczbą par klucz-wartość lub pojedynczą bardzo dużą wartością, powodując nieograniczone zużycie CPU i pamięci.