Datadog dd-trace-py: Denial of Service über IAST-Stringformatierung
Zusammenfassung
Die IAST-Instrumentierung für String-Verarbeitung im Datadog Python APM-Client dd-trace-py behandelt bestimmte interne Fehler nicht korrekt, wenn die alte %-Stringformatierung angreifergesteuerte Eingaben verarbeitet. Ein nicht behandelter Fehler kann den Python-Prozess beenden und die laufende Verarbeitung unterbrechen. Die Ausnutzung setzt voraus, dass IAST aktiviert ist, was nicht der Standard ist, und dass der Anwendungscode die betroffene Formatierungsoperation auf angreifergesteuerte Eingaben anwendet.
Betroffen
- Datadog dd-trace-py ab 3.13.0 vor 4.15.5
- Nur Anwendungen mit aktiviertem IAST sind betroffen
Behoben in
- Auf dd-trace-py 4.15.5 oder neuer aktualisieren (4.15.6 behebt zusätzlich CVE-2026-116588)
Umgehung
- IAST deaktivieren, indem DD_IAST_ENABLED=false gesetzt wird
- %-Interpolation von Benutzereingaben durch str.format oder f-Strings ersetzen
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn
- Kein öffentlicher Proof-of-Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- EPSS-Wert ist niedrig (0.00328)
Unsere Empfehlung
- Prüfen, ob dd-trace-py installiert ist (pip show ddtrace, Lockfiles) und ob DD_IAST_ENABLED gesetzt ist
- Falls IAST deaktiviert ist, auf 4.15.6 oder neuer im regulären Release-Zyklus aktualisieren
- Falls IAST aktiviert ist, aktualisieren oder deaktivieren und die %-Formatierung von Benutzereingaben prüfen
- Aus dem Internet erreichbare Python-Dienste prüfen, die Benutzereingaben in die %-Formatierung geben
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-p3m5-h5v9-vqj6 github.com
- Release v4.15.5 github.com
- Fix commit 69dc198 github.com
- Fix commit ace9724 github.com
- OSV GHSA-p3m5-h5v9-vqj6 osv.dev
- Tenable CVE-2026-116589 www.tenable.com
- GitLab advisory CVE-2026-116589 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:52.
Referenzen der NVD (6)
- https://github.com/DataDog/dd-trace-py/commit/69dc19853247434ceab83e0c1c4e279a2eb2a3f7
- https://github.com/DataDog/dd-trace-py/commit/ace972489b57dd020ff52b706bb548a354f2dd69
- https://github.com/DataDog/dd-trace-py/pull/20786
- https://github.com/DataDog/dd-trace-py/pull/20823
- https://github.com/DataDog/dd-trace-py/releases/tag/v4.15.5
- https://github.com/DataDog/dd-trace-py/security/advisories/GHSA-p3m5-h5v9-vqj6
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.