CVE-2021-21331

El cliente Java para la API Datadog anterior a la versión 1.0.0-beta.9, presenta una divulgación de información local de información confidencial descargada por medio de la API mediante la API Client. La API Datadog se ejecuta en un sistema similar a Unix con múltiples usuarios. La API se usa para descargar un archivo que contiene información confidencial. Esta información confidencial está expuesta localmente a otros usuarios. Esta vulnerabilidad existe en la API Client para versión 1 y 2. El método "prepareDownloadFilecreates" crea un archivo temporal con los bits de permisos de "-rw-r--r--" en sistemas similares a Unix. En sistemas similares a Unix, el directorio temporal del sistema se comparte entre los usuarios. Como tal, el contenido del archivo descargado a través del método "downloadFileFromResponse" será visible para todos los demás usuarios en el sistema local. El análisis del hallazgo determinó que el código afectado no se usó, lo que significa que la probabilidad de explotación es baja. El código no usado se ha eliminado, lo que mitiga de forma eficaz este problema. Este problema se ha corregido en la versión 1.0.0-beta.9. Como solución alternativa, se puede especificar "java.io.tmpdir" al iniciar la JVM con el indicador "-Djava.io.tmpdir", especificando una ruta a un directorio con permisos "drw-------" propiedad de "dd-agent"