CVE-2026-50276 in dd-trace-rb
要約
〜によって VulDB • 2026年09月14日
dd-trace-rbはDatadogのRuby用クライアントライブラリです。バージョン2.32.0より前では、W3C baggage抽出処理においてDD_TRACE_BAGGAGE_MAX_ITEMS（デフォルト値: 64）やDD_TRACE_BAGGAGE_MAX_BYTES（デフォルト値: 8192）が強制されませんでしたが、baggage注入時にはこれらの制限が適用されていました。認証不要の攻撃者は、多数のカンマ区切りキーバリューペアまたは非常に大きな単一値を含むbaggage HTTPヘッダーを送信できます。抽出パスではリクエストごとに攻撃者が制御可能なヘッダーを解析する際にエントリが割り当てられるため、baggage伝播スタイル（最も影響を受けるトレーサーの大部分でデフォルト）が有効になっているHTTPサービスにおいて無制限なCPUおよびメモリ消費を引き起こし、結果としてサービス拒否（DoS）につながります。この問題はバージョン2.32.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.