dd-trace-java: Onveilige deserialisatie in RMI-instrumentatie kan leiden tot uitvoering van code op afstand

CVE-2026-33728 in dd-trace-java, die versies vó 1.60.3 treft, maakt Remote Code Execution (RCE) mogelijk in Java 16 of oudere omgevingen. De RMI-instrumentatie registreert een aangepast eindpunt dat inkomende gegevens deserialiseert zonder serialisatiefilters toe te passen. Een aanvaller met netwerktoegang tot een JMX- of RMI-poort op een geïnstrumenteerde JVM kan deze fout uitbuiten. Drie voorwaarden moeten worden vervuld om succesvolle exploitatie mogelijk te maken: dd-trace-java moet worden gekoppeld als een Java-agent (-javaagent), de Java-versie moet 16 of ouder zijn en de aanvaller moet netwerktoegang hebben tot de kwetsbare poort. De ernst van deze kwetsbaarheid is hoog (CVSS 9.5) vanwege het potentieel voor systeemcompromis.

Organizations utilizing the Datadog Java Agent in production environments, particularly those running on Java 16 or earlier and exposing JMX/RMI ports, are at significant risk. Shared hosting environments where multiple applications share the same JVM are also vulnerable, as an attacker could potentially compromise one application to gain access to others.

• java / agent:

Get-Process | Where-Object {$_.Path -like '*javaagent*datadog-java-agent*'} | Select-Object ProcessId, Path

• java / jmx:

netstat -tulnp | grep ':1099' # Check for JMX port exposure

• generic web:

curl -I http://<target_ip>:1099 # Check for JMX endpoint exposure

1. 2026-03-26Disclosure

   disclosure

1. Gereserveerd2026-03-23
2. Gepubliceerd2026-03-26
3. Gewijzigd2026-03-27
4. EPSS bijgewerkt2026-04-03

De belangrijkste mitigatie voor CVE-2026-33728 is het upgraden van dd-trace-java naar versie 1.60.3 of hoger. Deze versie bevat een correctie die serialisatiefilters implementeert om onveilige deserialisatie te voorkomen. Als een onmiddellijke upgrade niet mogelijk is, overweeg dan om de netwerktoegang tot JMX- en RMI-poorten te beperken om het aanvalsoppervlak te verkleinen. Actief monitoren van systeemlogboeken op verdachte activiteiten in verband met deserialisatie kan ook helpen bij het detecteren en reageren op potentiële exploitatiepogingen. Zorg er bovendien voor dat alle Java-afhankelijkheden up-to-date zijn om andere potentiële kwetsbaarheden te verhelpen.