Datadog dd-trace-js: Regular Expression Denial of Service in Query-String-Obfuskierung
Zusammenfassung
Der Datadog-APM-Tracer für Node.js (dd-trace) verwendet einen Standard-Regulären Ausdruck zur Obfuskierung von URL-Query-Strings. Dieser Ausdruck kann bei speziell gestalteten Query-Strings übermässig zurückverfolgen und wird synchron ausgeführt, während der Tracer HTTP-URL-Metadaten erfasst. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit einer präparierten Anfrage die CPU-Last erhöhen und die Verarbeitung von Anfragen blockieren, sodass die überwachte Anwendung nicht mehr verfügbar ist. Die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- dd-trace-js 2.0.0 bis vor 5.131.1
- dd-trace-js 6.0.0 bis vor 6.20.1
Behoben in
- 5.131.1
- 6.20.1
- Spätere Versionen enthalten die Korrektur ebenfalls. Vor dem Ausrollen die aktuelle npm-Version prüfen.
Umgehung
- Das Aktualisieren ist die Korrektur. Unbekannt: Es ist kein vom Hersteller verifizierter Workaround verfügbar.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Laut VulDB ist kein öffentlicher Proof-of-Concept-Exploit bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Node.js-Projekte und Container-Images auf dd-trace prüfen (package.json, Lockfiles, Image-SBOMs).
- Auf dd-trace 5.131.1 oder 6.20.1 oder neuer aktualisieren und Container-Images neu bauen.
- Internetseitig erreichbare Dienste priorisieren.
- CPU-Auslastung und Antwortzeiten betroffener Dienste nach dem Patchen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 5eeee79 github.com
- Fix commit cf4e68a github.com
- Pull request #10675 github.com
- Release v5.131.1 github.com
- Release v6.20.1 github.com
- GitHub Security Advisory GHSA-x94g-w73q-hpcw github.com
- GitLab Advisory Database entry advisories.gitlab.com
- VulDB entry 427565 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:51.
Referenzen der NVD (6)
- https://github.com/DataDog/dd-trace-js/commit/5eeee790c93036a50549056fc890028cb4c86b1b
- https://github.com/DataDog/dd-trace-js/commit/cf4e68a45fa1442c9850f2086c81901258e821b8
- https://github.com/DataDog/dd-trace-js/pull/10675
- https://github.com/DataDog/dd-trace-js/releases/tag/v5.131.1
- https://github.com/DataDog/dd-trace-js/releases/tag/v6.20.1
- https://github.com/DataDog/dd-trace-js/security/advisories/GHSA-x94g-w73q-hpcw
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.