CVE-2026-33728 Datadog Java Agent RCE 漏洞，已修复

dd-trace-java 在 1.60.3 版本之前的 CVE-2026-33728 漏洞，允许在 Java 16 或更早的环境中实现远程代码执行 (RCE)。RMI Instrumentation 注册了一个自定义端点，在不应用序列化过滤器的情况下反序列化传入数据。具有网络访问权限的攻击者，可以访问已 Instrumentation 的 JVM 上的 JMX 或 RMI 端口，可以利用此漏洞。为了成功利用，必须满足以下三个条件：dd-trace-java 必须作为 Java agent (-javaagent) 附加，Java 版本必须为 16 或更早，并且攻击者必须对易受攻击的端口具有网络访问权限。由于存在系统被破坏的潜在风险，因此此漏洞的严重程度很高 (CVSS 9.5)。

Organizations utilizing the Datadog Java Agent in production environments, particularly those running on Java 16 or earlier and exposing JMX/RMI ports, are at significant risk. Shared hosting environments where multiple applications share the same JVM are also vulnerable, as an attacker could potentially compromise one application to gain access to others.

• java / agent:

Get-Process | Where-Object {$_.Path -like '*javaagent*datadog-java-agent*'} | Select-Object ProcessId, Path

• java / jmx:

netstat -tulnp | grep ':1099' # Check for JMX port exposure

• generic web:

curl -I http://<target_ip>:1099 # Check for JMX endpoint exposure

1. 2026-03-26Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-26
3. 修改日期2026-03-27
4. EPSS 更新日期2026-04-03

CVE-2026-33728 的主要缓解措施是将 dd-trace-java 升级到 1.60.3 或更高版本。此版本包含一项修复，可实现序列化过滤器以防止不安全的序列化。如果无法立即升级，请考虑限制对 JMX 和 RMI 端口的网络访问，以减少攻击面。积极监控系统日志中与反序列化相关的可疑活动也可以帮助检测和响应潜在的利用尝试。此外，请确保所有 Java 依赖项都是最新的，以减轻其他潜在漏洞。