🇰🇷 한글 설명
Datadog dd-trace-py는 Python APM 클라이언트입니다. 1.5.0부터 3.19.9 및 4.15.6 이전 버전에서는 기본 쿼리 문자열 난독화 정규식이 공격자가 제어하는 URL 쿼리 문자열을 동기적으로 처리할 때 과도한 백트래킹을 일으킬 수 있습니다. 이로 인해 HTTP 트레이싱 연동 환경에서 CPU 사용량 급증, 요청 지연, 서비스 중단이 발생할 수 있으며, 해당 기능은 기본적으로 활성화되어 있습니다. 3.19.9 및 4.15.6 버전에서 수정되었습니다.
💡 쉬운 설명
Datadog의 Python 모니터링 도구가 특정 URL 주소를 처리하는 과정에서 계산이 끝없이 반복되는 문제가 있습니다. 공격자가 악의적인 URL을 보내면 서버 CPU가 과도하게 사용되어 서비스가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
Datadog dd-trace-py is the Datadog Python APM client. From 1.5.0 until 3.19.9 and 4.15.6, the default query-string obfuscation regular expression can exhibit excessive backtracking while synchronously processing attacker-controlled URL query strings for HTTP span metadata. A remote attacker can cause prolonged CPU consumption, request latency, and service unavailability in affected HTTP tracing integrations that include query strings in URL span tags. The vulnerable processing is enabled by default for those integrations. This issue is fixed in versions 3.19.9 and 4.15.6.
📍 영향받는 시스템
dd-trace-py 1.5.0 이상 3.19.9 미만, 4.0.0 이상 4.15.6 미만을 사용하는 Python 애플리케이션
⚔️ 공격 벡터
원격 공격자가 과도한 백트래킹을 유발하는 조작된 URL 쿼리 문자열을 HTTP 요청으로 전송
🛡️ 대응 방법
dd-trace-py를 3.19.9 또는 4.15.6 이상으로 업그레이드 (pip install --upgrade ddtrace)
🔧 검증 코드
출력된 Version 값이 3.19.9 또는 4.15.6 미만이면 취약하며, 그 이상이면 패치가 적용된 것입니다.
pip show ddtrace 2>/dev/null | grep -i version