CVE-2026-50638: Metrics::Any::Adapter::DogStatsd para Perl - injeção de métricas anterior à 0.04

Visão geral

O Metrics::Any::Adapter::DogStatsd para Perl, em versões anteriores à 0.04, não protege contra injeção de métricas. O registro afirma que o protocolo statsd e extensões como o dogstatsd permitem enviar várias métricas, separadas por quebras de linha, em um único pacote. O adaptador DogStatsd estende o adaptador Statsd, que tem fraqueza semelhante, e sua função _tags não verifica tags quanto a quebras de linha ou caracteres de controle do statsd.

Impacto

Dados que chegam a nomes de métricas ou tags podem ser interpretados como métricas adicionais, que é a condição de injeção descrita no registro.
Dados de métricas corrompidos ou forjados podem induzir em erro painéis e alertas (inferência, não declarada nas fontes).
A pontuação CVSS registrada é 9.1 (crítica), com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade, segundo a avaliação da CNA e da CISA-ADP.
O CWE atribuído no registro é CWE-93.

Produtos e versões afetadas

Produto listado no registro: Metrics::Any::Adapter::DogStatsd (Pevans), afetado em versões anteriores à 0.04.
O registro também indica que o adaptador Statsd, que o DogStatsd estende, possui vulnerabilidade semelhante. A faixa afetada desse adaptador não consta neste registro.
A versão corrigida não está listada no campo de correções. Como a faixa afetada termina em 0.04, essa é provavelmente a primeira versão corrigida (inferência).

Status de exploração

Esta CVE não consta na lista KEV da CISA no registro.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A avaliação SSVC indica exploração como none e automatizável como no.
A probabilidade EPSS registrada é 0.00554, com percentil 0.45522, conforme o registro.

Correção e mitigação

Atualize o adaptador DogStatsd para a versão 0.04 ou posterior, primeira versão fora da faixa afetada.
Verifique se o adaptador Statsd e outros adaptadores do Metrics::Any no seu ambiente precisam da mesma atualização, já que o registro relaciona esta falha ao adaptador Statsd.
Enquanto a correção não for possível, valide e remova quebras de linha e caracteres de controle do statsd de tags e nomes de métricas no código da aplicação.
Limite quais componentes ou usuários podem influenciar nomes de métricas e tags.

Orientações de detecção

Procure séries de métricas com nomes ou valores inesperados que surgem logo após mudanças em tags controladas pelo usuário.
Revise os logs de ingestão em busca de pacotes com várias linhas de métricas quando se espera apenas uma.
Verifique painéis e alertas em busca de anomalias que possam indicar métricas injetadas ou forjadas.

Limitações das informações disponíveis

O registro não informa uma versão corrigida, apenas a faixa afetada anterior à 0.04.
O link de notas de versão aponta para a distribuição Metrics-Any-Adapter-Statsd 0.04, não explicitamente para uma correção do DogStatsd, portanto o conteúdo exato da correção não está confirmado.
O nome do CWE não é fornecido no registro.
Os registros relacionados CVE-2026-9270, CVE-2026-50637 e CVE-2026-50639 estão marcados como relacionados, mas seu conteúdo não está incluído aqui.
A data do EPSS no registro é posterior à data de publicação, por isso os valores EPSS devem ser interpretados com cautela.

Perguntas frequentes

Quais versões são afetadas pela CVE-2026-50638?

O registro indica o Metrics::Any::Adapter::DogStatsd para Perl em versões anteriores à 0.04 como afetado.

Esta vulnerabilidade está sendo explorada na prática?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que fazer se eu usar este adaptador?

Atualize para a versão 0.04 ou posterior, verifique adaptadores relacionados como o Statsd e valide tags e nomes de métricas até aplicar a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.