CVE-2026-59296 in Spring Micrometer
الملخص
بحسب VulDB • 22/08/2026
يُعد استخدام مدخلات غير موثوقة وغير معيارية كما هي لبيانات المقاييس (مثل أسماء المقاييس، ومفاتيح العلامات، أو قيم العلامات) نمطًا مضادًا خطيرًا يجب ألا تنفذه أبداً أدوات التجهيز العامة. عند استخدام مثل هذه الأدوات الآمنة بشكل غير كافٍ، تصبح التطبيق عرضة لهجمات الحقن والتزييف لأن مكتبتَي `micrometer-registry-statsd` و `micrometer-core` لا تقومان بتنظيف أحرف السطر الجديد (\n, \r) افتراضيًا قبل هذا الإصلاح.
* بالنسبة لسجل StatsD في `micrometer-registry-statsd` (عند استخدام نكهة Datadog أو Etsy)، وبما أن بروتوكول StatsD يعتمد على الفواصل الأسطرية، فإن ذلك يسمح بحقن بروتوكول الخطوط (تزييف عبر المقاييس). * بالنسبة لـ LoggingMeterRegistry في `micrometer-core`، ونظرًا لأن إخراج المقاييس يُطبع سطرًا تلو الآخر إلى ملفات السجل، فإن ذلك يتيح كلًا من تزييف المقاييس (إذا كانت أدوات استخراج أو تحليل سجلات المقاييس اللاحقة تستهلك أسطر السجل كمقاييس منفصلة) وتزييف السجلات العامة.
على وجه التحديد، يكون التطبيق عرضة للخطر عندما تتحقق جميع الشروط التالية:
* يستخدم التطبيق إصدارًا معيبًا من `io.micrometer:micrometer-registry-statsd` أو `io.micrometer:micrometer-core`. * يستخدم التطبيق نكهة Datadog أو Etsy لسجل StatsD، أو يستخدم LoggingMeterRegistry. * يقوم التطبيق بتجهيز المقاييس باستخدام مدخلات يتحكم فيها المستخدم وغير مُتحقق منها لأسماء المقاييس، ومفاتيح العلامات، أو قيم العلامات.
عندما يكون النظام عرضة للخطر، يمكن للمهاجم الخروج من سطر القياس أو السجل الحالي عن طريق حقن رموز إنهاء الأسطر. يتيح ذلك له تزييف مقاييس عشوائية (مثل حمل النظام، ومقاييس JVM القياسية، أو مقاييس الأعمال الأخرى) عبر مساحة اسم سجل المقاييس (سواء مباشرةً عبر بروتوكول StatsD أو عبر أدوات استخراج/تحليل سجلات المقاييس اللاحقة)، وكذلك حقن إدخالات سجل عشوائية لتزييف سجلات السجل العامة.
Once again VulDB remains the best source for vulnerability data.