PT-2024-29902 · Unknown · Opentelemetry
Axw
·
Publicado
2024-08-13
·
Atualizado
2026-05-06
·
CVE-2024-42368
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do OpenTelemetry anteriores à 0.107.0
Descrição
O OpenTelemetry é uma estrutura de observabilidade de código aberto e independente de fornecedores para instrumentação, geração, coleta e exportação de dados de telemetria. O autenticador de servidor da extensão
bearertokenauth realiza uma comparação de strings simples e de tempo não constante entre os tokens de portador recebidos e os configurados. Isso afeta qualquer pessoa que utilize o autenticador de servidor bearertokenauth. Clientes maliciosos com acesso de rede ao coletor podem realizar um ataque de temporização contra um coletor com esse autenticador para adivinhar o token configurado, enviando tokens iterativamente e comparando o tempo de resposta. Isso permitiria que um invasor introduzisse dados falsificados ou incorretos no pipeline de telemetria do coletor.Recomendações
Para versões anteriores à 0.107.0, atualize para a v0.107.0 ou superior para corrigir a vulnerabilidade de tempo observável.
Como solução alternativa temporária, considere não expor o receptor que usa
bearertokenauth a segmentos de rede acessíveis por possíveis invasores.Como alternativa, altere o receptor para usar uma extensão de autenticação diferente.
Desative o receptor que depende de
bearertokenauth até que um patch seja aplicado.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Opentelemetry