OpenTelemetry-Go — это реализация OpenTelemetry на Go. До версии 1.43.0 экспортеры HTTP otlp (трассировки/метрики/журналы) считывали полное тело ответа HTTP в байты в памяти. Буфер без ограничения размера.
Это можно использовать для нехватки памяти, когда настроенная конечная точка сборщика контролируется злоумышленником (или сетевой злоумышленник может заблокировать соединение экспортера). Эта уязвимость исправлена в версии 1.43.0.
Показать оригинальное описание (EN)
OpenTelemetry-Go is the Go implementation of OpenTelemetry. Prior to 1.43.0, the otlp HTTP exporters (traces/metrics/logs) read the full HTTP response body into an in-memory bytes.Buffer without a size cap. This is exploitable for memory exhaustion when the configured collector endpoint is attacker-controlled (or a network attacker can mitm the exporter connection). This vulnerability is fixed in 1.43.0.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Opentelemetry Opentelemetry
cpe:2.3:a:opentelemetry:opentelemetry:*:*:*:*:*:go:*:*
|
— |
1.43.0
|