dd-trace : ReDOS dans l'obscurcissement des chaînes de requête URL

Résumé

Une expression régulière utilisée pour obscurcir les chaînes de requête URL peut consommer un CPU excessif lors du traitement de certaines entrées contrôlées par un attaquant. Cela peut bloquer le traitement des requêtes et causer un déni de service dans les applications utilisant les intégrations de tracing HTTP affectées.

Détails

Le motif d'obscurcissement de chaîne de requête par défaut peut présenter un backtracking excessif. Le motif est appliqué de manière synchrone lors de l'enregistrement des métadonnées d'URL HTTP, ce qui permet au traitement de la chaîne de requête de consommer des ressources de l'application pendant une période prolongée.

En tant que solution de contournement, définissez DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP sur l'expression régulière corrigée ci-dessous, puis redémarrez l'application.

DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP='(?:(?:"|%22)?)(?:(?:old[-_]?|new[-_]?)?p(?:ass)?w(?:or)?d(?:1|2)?|pass(?:[-_]?phrase)?|secret|(?:api[-_]?|private[-_]?|public[-_]?|access[-_]?|secret[-_]?|app(?:lication)?[-_]?)key(?:[-_]?id)?|token|consumer[-_]?(?:id|key|secret)|sign(?:ed|ature)?|auth(?:entication|orization)?)(?:(?:\s|%20)*(?:=|%3D)[^&]+|(?:"|%22)(?:\s|%20)*(?::|%3A)(?:\s|%20)*(?:"|%22)(?:%2[^2]|%[^2]|[^"%])+(?:"|%22))|(?:bearer(?:\s|%20)+[a-z0-9._\-]+|token(?::|%3A)[a-z0-9]{13}|gh[opsu]_[0-9a-zA-Z]{36}|(?:(?<![\w-])|(?<=%[0-9a-f]{2}))ey[I-L][\w-]+(?:=|%3D)*\.ey[I-L][\w-]+(?:=|%3D)*(?:\.(?:[\w.+/=-]|%3D|%2F|%2B)+)?|-{5}BEGIN(?:[a-z\s]|%20)+PRIVATE(?:\s|%20)KEY-{5}[^\-]+-{5}END(?:[a-z\s]|%20)+PRIVATE(?:\s|%20)KEY(?:-{5})?(?:\n|%0A)?|(?:ssh-(?:rsa|dss)|ecdsa-[a-z0-9]+-[a-z0-9]+)(?:\s|%20|%09)+(?:[a-z0-9/.+]|%2F|%5C|%2B){100,}(?:=|%3D)*(?:(?:\s|%20|%09)+[a-z0-9._-]+)?)'

Preuve de concept

Les détails des entrées déclencheuses et des étapes de reproduction sont omis dans ceavis. La version corrigée inclut une couverture de régression pour le comportement affecté.

Impact

Déni de service par expression régulière (ReDOS) affectant les applications qui traitent les chaînes de requête URL contrôlées par un attaquant via le motif d'obscurcissement vulnérable. Une exploitation réussie peut entraîner une consommation CPU excessive, une latence de requête prolongée et une indisponibilité du service.

Le traitement vulnérable est activé par défaut pour les intégrations HTTP affectées qui incluent les chaînes de requête dans les balises d'étendue URL.