opentelemetry-js — это JavaScript-клиент OpenTelemetry. До версии 0.217.0 один неправильно сформированный HTTP-запрос приводил к сбою любого процесса Node.js, запускающего экспортер OpenTelemetry JS Prometheus. Конечная точка метрики (по умолчанию 0.0.0.0:9464) не имеет обработки ошибок при синтаксическом анализе URL-адресов, поэтому запрос с недопустимым URI вызывает неперехваченную ошибку TypeError, которая завершает процесс.
Эта уязвимость исправлена в версии 0.217.0.
Показать оригинальное описание (EN)
opentelemetry-js is the OpenTelemetry JavaScript Client. Prior to 0.217.0, a single malformed HTTP request crashes any Node.js process running the OpenTelemetry JS Prometheus exporter. The metrics endpoint (default 0.0.0.0:9464) has no error handling around URL parsing, so a request with an invalid URI causes an uncaught TypeError that terminates the process. This vulnerability is fixed in 0.217.0.
Характеристики атаки
Последствия
Строка CVSS v3.1