Datadog dd-trace-py: ثغرة حجب الخدمة الناتجة عن التعبير العادي ReDOS في إخفاء سلسلة استعلامات URL

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

حزمة Datadog dd-trace-py هي عميل APM بلغة Python لشركة Datadog. من الإصدار 1.5.0 حتى 3.19.9 و4.15.6، يمكن للتعبير العادي الافتراضي لإخفاء سلسلة الاستعلام أن يُظهر تراجعًا مفرطًا أثناء معالجة سلاسل استعلامات URL التي يتحكم بها المهاجم بالتزامن مع بيانات تعريف النطاق HTTP. يمكن لمهاجم عن بُعد التسبب في استهلاك طويل للاستهلاك المعالج، وتأخير الطلبات، وعدم توفر الخدمة في عمليات التكامل لتتبع HTTP المتأثرة التي تتضمن سلاسل الاستعلام في علامات نطاق URL. تكون المعالجة المعرضة للخطر ممكّنة افتراضيًا لتلك عمليات التكامل. تم إصلاح هذه المشكلة في الإصدارين 3.19.9 و4.15.6.

المعالجة

1. أحصِ جميع نشرات DataDog dd-trace-py، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/DataDog/dd-trace-py/security/advisories/GHSA-3633-r77q-h3v3
• مرجعhttps://github.com/DataDog/dd-trace-py/pull/20857
• مرجعhttps://github.com/DataDog/dd-trace-py/pull/20862
• مرجعhttps://github.com/DataDog/dd-trace-py/pull/20880
• مرجعhttps://github.com/DataDog/dd-trace-py/commit/63ddc3cb07d8813ded7a8b3ab5b8d0f5470e4bfd
• مرجعhttps://github.com/DataDog/dd-trace-py/commit/83ea39845dd95bfb9b8e247c62b3d22fc5dce1ce
• مرجعhttps://github.com/DataDog/dd-trace-py/commit/a6d73607ea45ecd67152630f64b0945556972ed8
• مرجعhttps://github.com/DataDog/dd-trace-py/releases/tag/v3.19.9
• مرجعhttps://github.com/DataDog/dd-trace-py/releases/tag/v4.15.6