JVNDB-2026-018252

Datadogのdd-trace-javaにおける信頼できないデータのデシリアライゼーションに関する脆弱性

dd-trace-javaは、Java用のDatadog APMクライアントです。dd-trace-javaのバージョン0.40.0から1.60.2未満のバージョンでは、RMI計測がカスタムエンドポイントを登録し、シリアライズフィルターを適用せずに受信データをデシリアライズしていました。JDKバージョン16およびそれ以前では、攻撃者がインストルメント化されたJVMのJMXまたはRMIポートにネットワークアクセスできる場合、これを悪用してリモートコード実行を引き起こす可能性があります。脆弱性を悪用するには、以下の3つの条件がすべて成立しなければなりません。まず、dd-trace-javaがJava 16以下のJavaエージェント（`-javaagent`）としてアタッチされていること。次に、`-Dcom.sun.management.jmxremote.port`でJMX/RMIポートが明示的に構成されており、ネットワークからアクセス可能であること。最後に、gadget-chain互換のライブラリがクラスパスに存在していることです。JDK 17以降の場合は対応不要ですが、アップグレードが強く推奨されます。JDK 8u121以上かつJDK 17未満の場合は、dd-trace-javaバージョン1.60.3以降にアップグレードしてください。シリアライズフィルターが利用できないJDK 8u121未満およびそれ以前の場合は、回避策を適用してください。回避策は、次の環境変数を設定してRMI統合を無効にすることです：`DD_INTEGRATION_RMI_ENABLED=false`。

Datadog

• dd-trace-java 0.40.0 以上 1.60.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unsafe deserialization in dd-trace-java RMI instrumentation may lead to remote code execution  Advisory  DataDog/dd-trace-java  GitHub

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-33728

1. National Vulnerability Database (NVD) : CVE-2026-33728
2. 関連文書 : Release 1.60.3  DataDog/dd-trace-java  GitHub

• [2026年06月05日]
    掲載