| タイトル | BINARYのDataDog::DogStatsdにおける複数の脆弱性 |
|---|---|
| 概要 | Perl用のDataDog::DogStatsdバージョン0.07まででは、イベントタグからのメトリック注入が許可されています。DataDog::DogStatsdは入力を適切にサニタイズしないため、信頼されていないソースからのデータによりメトリック注入が可能です。format_eventメソッド（eventメソッドで使用）はタグの内容を検証しません。タグにはカンマ（タグの注入を許可）、改行、パイプ、およびコロンが含まれる可能性があり、これがメトリック注入を引き起こします。パイプを除去しようとする正規表現は効果がなく、パイプがエスケープされていないため正規表現のメタキャラクタとして解釈されて効果を発揮しません。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月5日0:00 |
| 登録日 | 2026年6月11日16:15 |
| 最終更新日 | 2026年6月11日16:15 |
| CVSS3.0 : 緊急 | |
| スコア | 9.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| BINARY |
| DataDog::DogStatsd 0.07 およびそれ以前 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月11日] 掲載 |
2026年6月11日16:15 |
| 概要 | DataDog::DogStatsd versions through 0.07 for Perl allow metric injections from event tags. DataDog::DogStatsd does not properly sanitise input, allowing metric injections of data from untrusted sources. The format_event method (used by the event method) does not validate the content of the tags, which may contain commas (allowing tags to be injected) or newlines, pipes and colons that allow metric injections. (There is an ineffective s/|//g to remove pipes, but because the pipe is not escaped, it is interpreted as a regular expression metacharacter and has no effect.) |
|---|---|
| 公表日 | 2026年6月6日1:16 |
| 登録日 | 2026年6月6日4:17 |
| 最終更新日 | 2026年6月11日0:01 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:binary:datadog\:\:dogstatsd:*:*:*:*:*:perl:*:* | 0.07 | ||||
| 概要 | Net::Statsd::Lite versions before 0.9.0 for Perl allowed metric injections. The metric names were not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics. |
|---|---|
| 公表日 | 2026年5月16日23:16 |
| 登録日 | 2026年5月17日4:14 |
| 最終更新日 | 2026年5月19日23:16 |
| 概要 | Net::Statsd::Tiny versions before 0.3.8 for Perl allowed metric injections. The metric names and set values were not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics. |
|---|---|
| 公表日 | 2026年5月18日3:16 |
| 登録日 | 2026年5月18日4:11 |
| 最終更新日 | 2026年5月19日2:40 |
| 概要 | Etsy::StatsD versions through 1.002002 for Perl allow metric injections. The metric names and values are not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics. Note that the git repository contains an unreleased version with the gauge and set methods that also do not check for potential metric injections. |
|---|---|
| 公表日 | 2026年6月5日2:16 |
| 登録日 | 2026年6月5日4:11 |
| 最終更新日 | 2026年6月9日1:33 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:sanbeg:etsy\:\:statsd:*:*:*:*:*:perl:*:* | 1.002002 | ||||