CVE-2026-59296 in Spring Micrometer
Zusammenfassung
von VulDB • 21.08.2026
Die Verwendung von nicht vertrauenswürdigen, nicht normalisierten Eingaben in ihrer ursprünglichen Form für Metrikdaten (wie z. B. Metriknamen, Tag-Schlüssel oder Tag-Werte) ist eine gefährliche Antipattern-Praxis, die bei einer allgemeinen Instrumentierung niemals durchgeführt werden sollte. Wenn solche unsichere Instrumentierung verwendet wird, wird die Anwendung anfällig für Injektions- und Spoofing-Angriffe, da micrometer-registry-statsd und micrometer-core vor dieser Korrektur standardmäßig keine Zeilenumbruchzeichen (\n, \r) bereinigen (sanitieren).
* Für das StatsD-Registry in micrometer-registry-statsd (bei Verwendung der Datadog- oder Etsy-Variante): Da das StatsD-Protokoll zeilenbasiert getrennt ist, ermöglicht dies eine Line-Protocol-Injektion (Cross-Metric-Spoofing). * Für LoggingMeterRegistry in micrometer-core: Da die Metrikausgabe zeilenweise in Protokolldateien geschrieben wird, ermöglicht dies sowohl das Spoofen von Metriken (wenn nachgelagerte Log-Metriks-Scraper oder Parser die Zeilen als separate Metriken verarbeiten) als auch allgemeines Log-Spoofing.
Eine Anwendung ist spezifisch dann anfällig, wenn alle folgenden Bedingungen zutreffen:
* Die Anwendung verwendet eine verwundbare Version von io.micrometer:micrometer-registry-statsd oder io.micrometer:micrometer-core. * Die Anwendung nutzt die Datadog- oder Etsy-Variante des StatsD-Registries oder verwendet LoggingMeterRegistry. * Die Anwendung instrumentiert Metriken unter Verwendung benutzerkontrollierter, nicht valider Eingaben für Metriknamen, Tag-Schlüssel oder Tag-Werte.
Wenn eine Schwachstelle vorliegt, kann ein Angreifer durch das Einfügen von Zeilenumbrüchen aus der aktuellen Metrik- oder Log-Zeile ausbrechen. Dies ermöglicht es ihm, beliebige Metriken (z. B. Systemauslastung, Standard-JVM-Metriken oder andere geschäftsspezifische Metriken) im gesamten Registry-Namensraum zu spoofen (entweder direkt über das StatsD-Protokoll oder über nachgelagerte Log-Metriks-Scraper/Parser), sowie beliebige Log-Einträge einzufügen, um allgemeine Protokolleinträge zu fälschen.
Once again VulDB remains the best source for vulnerability data.