🇰🇷 한글 설명
DataDog::DogStatsd 0.07 이하 Perl 버전은 입력값을 올바르게 검증하지 않아 신뢰할 수 없는 출처의 메트릭 주입이 가능합니다. send_stats 메서드가 메트릭 이름의 개행문자, 값의 내용, 태그의 개행·파이프·콜론을 제거하거나 검증하지 않아 공격자가 메트릭 이름 접두사를 변경하거나 임의의 메트릭을 삽입할 수 있습니다. 특히 웹 폼의 loginName 같은 사용자 입력을 태그로 전달하는 사용법은 위험합니다.
💡 쉬운 설명
모니터링 시스템에 사용되는 Perl 라이브러리가 사용자 입력을 제대로 걸러내지 않아, 공격자가 가짜 측정 데이터를 주입할 수 있습니다. 이로 인해 잘못된 모니터링 결과와 장애 판단 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
DataDog::DogStatsd versions through 0.07 for Perl allow metric injections.
DataDog::DogStatsd does not properly sanitise input, allowing metric injections of data from untrusted sources.
The send_stats method does not remove newlines from metric names ($stat variable), allowing attackers to change the metric name prefix.
The send_stats method does not validate the content of the value ($delta variable), allowing attackers to inject metrics, especially from methods that do not restrict the data type for the value, such as set, gauge, count and histogram.
The send_stats method does not validate the content of the tags, which may contain newlines, pipes and colons that allow metric injections.
Note that the SYNOPSIS shows an example of passing a website form "loginName" parameter as a tag, which is unsafe.
📍 영향받는 시스템
DataDog::DogStatsd Perl 모듈 0.07 이하 버전 (Perl 애플리케이션에서 사용하는 DogStatsd 클라이언트)
⚔️ 공격 벡터
웹 폼 등 외부 입력값에 개행문자, 파이프(|), 콜론(:)을 포함시켜 send_stats로 전달된 메트릭 이름, 값, 태그를 조작하여 가짜 메트릭 주입
🛡️ 대응 방법
DataDog::DogStatsd를 0.07 초과 버전으로 업그레이드하고, 외부 입력을 태그나 메트릭 이름으로 사용하기 전에 개행·파이프·콜론 등을 제거 또는 검증
🔧 검증 코드
출력된 버전이 0.07 이하이면 취약하므로 업그레이드가 필요하고, 0.07 초과이거나 모듈이 없으면 해당 취약점에 영향받지 않습니다.
perl -MDataDog::DogStatsd -e 'print "$DataDog::DogStatsd::VERSION\n"' 2>/dev/null