| タイトル | PEVANS (Paul Evans )のMetrics::Any::Adapter::SignalFxにおける複数の脆弱性 |
|---|---|
| 概要 | Metrics::Any::Adapter::SignalFxのPerl版0.04以前のバージョンは、メトリックインジェクションに対する保護を行っていません。statsdプロトコル（およびdogstatsdなどの拡張）は、複数のメトリックを改行で区切って1つのパケットで送信することを許可しています。Metrics::Any::Adapter::SignalFxはMetrics::Any::Adapter::Statsdを拡張しており、同様の脆弱性があります。さらに、_labels関数はタグのラベルや改行、statsd制御文字をチェックしません。これらのラベルはメトリックインジェクションに悪用される可能性があります。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月10日0:00 |
| 登録日 | 2026年6月26日11:51 |
| 最終更新日 | 2026年6月26日11:51 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
| PEVANS (Paul Evans ) |
| Metrics::Any::Adapter::SignalFx 0.04 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月26日] 掲載 |
2026年6月26日11:51 |
| 概要 | Metrics::Any::Adapter::Statsd versions before 0.04 for Perl does not protect against metric injections. The statsd protocol (and extensions) allow mutiple metrics,separated by newlines, to be sent per packet. The send method does not validate the contents of the metric names or values. If the names have newlines and statsd control characters (colon, pipe) then metric injections are possible. Version 0.04 fixed this by modifying the _make method to block metric names with characters below ASCII 32 (which includes the newline), or colons or pipes. |
|---|---|
| 公表日 | 2026年6月11日4:16 |
| 登録日 | 2026年6月12日4:16 |
| 最終更新日 | 2026年6月12日5:16 |
| 概要 | Metrics::Any::Adapter::DogStatsd versions before 0.04 for Perl does not protect against metric injections. The statsd protocol (and extensions such as dogstatsd) allow mutiple metrics,separated by newlines, to be sent per packet. Metrics::Any::Adapter::DogStatsd which extends Metrics::Any::Adapter::Statsd, which has a similar vulnerability. In addition, the _tags function does not check tags for newlines or statsd control characters. The tags can be used for metric injections. |
|---|---|
| 公表日 | 2026年6月11日4:16 |
| 登録日 | 2026年6月12日4:16 |
| 最終更新日 | 2026年6月12日5:16 |
| 概要 | Metrics::Any::Adapter::SignalFx versions before 0.04 for Perl does not protect against metric injections. The statsd protocol (and extensions such as dogstatsd) allow mutiple metrics,separated by newlines, to be sent per packet. Metrics::Any::Adapter::SignalFx which extends Metrics::Any::Adapter::Statsd, which has a similar vulnerability. In addition, the _labels function does not check tags labels newlines or statsd control characters. The labels can be used for metric injections. |
|---|---|
| 公表日 | 2026年6月11日4:16 |
| 登録日 | 2026年6月12日4:16 |
| 最終更新日 | 2026年6月11日5:19 |
| 概要 | DataDog::DogStatsd versions through 0.07 for Perl allow metric injections. DataDog::DogStatsd does not properly sanitise input, allowing metric injections of data from untrusted sources. The send_stats method does not remove newlines from metric names ($stat variable), allowing attackers to change the metric name prefix. The send_stats method does not validate the content of the value ($delta variable), allowing attackers to inject metrics, especially from methods that do not restrict the data type for the value, such as set, gauge, count and histogram. The send_stats method does not validate the content of the tags, which may contain newlines, pipes and colons that allow metric injections. Note that the SYNOPSIS shows an example of passing a website form "loginName" parameter as a tag, which is unsafe. |
|---|---|
| 公表日 | 2026年6月6日1:16 |
| 登録日 | 2026年6月6日4:17 |
| 最終更新日 | 2026年6月11日0:01 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:binary:datadog\:\:dogstatsd:*:*:*:*:*:perl:*:* | 0.07 | ||||