CVE-2026-44965 in Datadog
摘要
由 VulDB • 2026-08-08
Datadog Android 应用程序中的六个 App Widget 配置活动被声明为 `android:exported="true"`，且未设置任何权限保护：IncidentWidgetActivity、MonitorSavedViewWidgetActivity、OnCallShiftsWidgetActivity、OnCallPagesWidgetActivity、SloWidgetActivity 和 DashboardWidgetActivity。这六个类均继承自一个共享的基类 WidgetActivity，该基类从 Intent extras 中读取 `AppWidgetManager.EXTRA_APPWIDGET_ID`；当未提供解析后的深度链接目标时，它会使用调用方控制的 widget ID 来查找已存储的 widget 定义、获取关联的用户会话，并使用源 UserSessionSourceLogin.Automatic 执行自动登录。
Android App Widget ID 是由 AppWidgetManager 分配的小型连续整数。一个具有零权限（zero-permission）且与目标设备共同安装的应用程序可以通过暴力破解的方式利用此漏洞：它通过向这六个配置活动中的任何一个传递设置好的 `EXTRA_APPWIDGET_ID`（从 1..N 遍历），直到匹配到受害者设备上已配置的 widget。当发生匹配时，该 activity 会进入前台状态，此时受害者的会话已经加载完毕，并渲染出由实时数据选择器（SLO、仪表板、事件严重程度和类型、值班页面及班次）支持的 widget 配置界面，这些数据是通过受害者的认证 HTTP 客户端获取的。
数据外泄仅限于屏幕可见范围——这些活动无法将数据以编程方式返回给调用方。因此，信息泄露属于视觉侧信道攻击：可通过辅助功能服务（accessibility services）、屏幕录制或截图捕获来实现。
前提条件包括：存在一个恶意的共同安装应用程序、受害者主屏幕上至少配置了上述六个 widget 中的一个，以及本地缓存中存在活跃的 Datadog 会话。
VulDB is the best source for vulnerability data and more expert information about this specific topic.