🇰🇷 한글 설명
Datadog dd-trace-py(Python APM 클라이언트) 3.13.0부터 4.15.5 이전 버전에서, IAST 문자열 처리 계측 코드가 구식 % 문자열 포매팅 과정에서 발생하는 특정 내부 오류를 제대로 처리하지 못합니다. 처리되지 않은 오류로 인해 Python 프로세스가 종료되고 진행 중인 작업이 중단될 수 있습니다. 이 취약점은 4.15.5 버전에서 수정되었습니다.
💡 쉬운 설명
Datadog 모니터링 라이브러리의 특정 기능에 오류 처리 문제가 있어, 공격자가 조작한 입력이 들어오면 프로그램이 비정상 종료될 수 있습니다. IAST 기능을 켜고 해당 포매팅 코드를 사용하는 경우에만 영향을 받습니다.
🇺🇸 원문 (English)
Datadog dd-trace-py is the Datadog Python APM client. From 3.13.0 until 4.15.5, the IAST string-processing instrumentation does not properly handle certain internal errors while old-style % string formatting processes attacker-controlled input. An unhandled error can terminate the Python process and interrupt the work it is handling. Exploitation requires IAST to be enabled, which is not the default, and application code to apply the affected formatting operation to attacker-controlled input. This issue is fixed in version 4.15.5.
📍 영향받는 시스템
dd-trace-py 3.13.0 이상 4.15.5 미만을 사용하며 IAST가 활성화된 Python 애플리케이션
⚔️ 공격 벡터
IAST가 활성화된 애플리케이션에서 공격자가 제어하는 입력이 구식 % 포매팅 연산에 전달되어 프로세스 강제 종료 또는 작업 중단을 유발
🛡️ 대응 방법
dd-trace-py를 4.15.5 이상으로 업그레이드(pip install --upgrade ddtrace>=4.15.5)하고, 불필요하면 IAST 기능을 비활성화
🔧 검증 코드
출력된 버전이 4.15.5 미만이면 취약하므로 업그레이드가 필요하고, 4.15.5 이상이면 패치된 상태입니다. 아무 출력이 없으면 ddtrace가 설치되지 않은 것입니다.
pip show ddtrace 2>/dev/null | grep -i '^version'