Datadog dd-trace-py: ReDoS in der Obfuskation von Query-Strings

Zusammenfassung

Datadog dd-trace-py, der Python-APM-Client, verwendet einen regulären Ausdruck, um Query-Strings in HTTP-URL-Span-Tags zu obfuskieren. Die Versionen 1.5.0 bis vor 3.19.9 sowie 4.0.0 bis vor 4.15.6 können bei speziell gestalteten Query-Strings übermässig zurücksetzen (Backtracking). Ein entfernter Angreifer kann dadurch hohe CPU-Last, Latenzen bei Anfragen und einen Dienstausfall in betroffenen HTTP-Tracing-Integrationen verursachen. Die verwundbare Verarbeitung ist für diese Integrationen standardmässig aktiviert, eine Authentifizierung ist nicht erforderlich. Der CNA bewertet die Schwachstelle mit CVSS 4.0 8.7 (High); NVD hatte die Analyse noch nicht abgeschlossen.

Betroffen

• dd-trace-py ab 1.5.0 bis vor 3.19.9
• dd-trace-py ab 4.0.0 bis vor 4.15.6
• Versionen 2.x und ältere 1.x-Zweige: Unbekannt.

Behoben in

• Auf 3.19.9 oder 4.15.6 (oder neuer) aktualisieren.

Umgehung

• Unbekannt. Für diesen Eintrag wurde keine vom Hersteller bestätigte Massnahme verifiziert.
• Das Deaktivieren des Query-String-Taggings im Tracer würde die verwundbare Verarbeitung vermeiden, kann jedoch Tokens oder Passwörter aus URLs in den APM-Daten offenlegen. Dies nur tun, wenn Ihre Datenschutzregeln es erlauben.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden. Da es sich um ein Regex-Problem handelt, könnte ein PoC aus dem öffentlichen Advisory und den Commits erstellt werden.

Unsere Empfehlung

• Alle Installationen von ddtrace bzw. dd-trace-py ermitteln, einschliesslich Requirements-Dateien, Lock-Dateien und Container-Images.
• Auf 3.19.9 oder 4.15.6 oder neuer aktualisieren, mit Priorität für aus dem Internet erreichbare Python-Dienste.
• Falls ein Update warten muss, eine dokumentierte Massnahme anwenden und diese mit Ihren Datenschutzregeln abgleichen.
• Webdienste auf CPU-Spitzen und Latenzzunahmen nach Anfragen mit langen Query-Strings überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3633-r77q-h3v3 github.com
• dd-trace-py release v3.19.9 github.com
• dd-trace-py release v4.15.6 github.com
• Fix commit for 3.x backport github.com
• Fix commit for 4.x backport github.com
• OSV entry GHSA-3633-r77q-h3v3 osv.dev
• GitLab advisory CVE-2026-116588 advisories.gitlab.com
• Tenable CVE-2026-116588 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:05.