PT-2025-9847 · Unknown · Opentelemetry Dotnet

Highrajkumar-Rangaraj · Publicado 2025-03-05 · Atualizado 2025-03-06 · CVE-2025-27513

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas OpenTelemetry.Api versões 1.10.0 a 1.11.1

Descrição Uma vulnerabilidade no OpenTelemetry.Api pode causar uma Negação de Serviço (DoS) quando os cabeçalhos tracestate e traceparent são recebidos. Este problema impacta qualquer aplicação acessível via web ou serviços de back-end que processam requisições HTTP contendo um cabeçalho tracestate. A aplicação pode apresentar consumo excessivo de recursos, levando ao aumento da latência, degradação do desempenho ou indisponibilidade.

Recomendações Para resolver o problema, atualize para a versão 1.11.2 do OpenTelemetry.Api executando o comando dotnet add package OpenTelemetry --version 1.11.2. Para o OpenTelemetry .NET Automatic Instrumentation, atualize para a versão 1.11.0. Como solução alternativa temporária, considere restringir o acesso ao pacote vulnerável OpenTelemetry.Api até que uma correção esteja disponível. Evite usar os cabeçalhos tracestate e traceparent em requisições HTTP até que o problema seja resolvido.

Exploit

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2025-27513

GHSA-8785-WC3W-H8Q6

GHSA-VC29-VG52-6643

Produtos afetados

Opentelemetry Dotnet

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/27xxx/CVE-2025-27513.json · Exploit
• https://github.com/open-telemetry/opentelemetry-dotnet · Nota
• https://github.com/open-telemetry/opentelemetry-dotnet/commit/1b555c1201413f2f55f2cd3c4ba03ef4b615b6b5 · Nota
• https://github.com/open-telemetry/opentelemetry-dotnet/security/advisories/GHSA-8785-wc3w-h8q6 · Nota
• https://github.com/open-telemetry/opentelemetry-dotnet/pull/6161 · Nota
• https://github.com/open-telemetry/opentelemetry-dotnet-instrumentation/security/advisories/GHSA-vc29-vg52-6643 · Nota
• https://github.com/open-telemetry/opentelemetry-dotnet-instrumentation · Nota
• https://t.me/cvedetector/19654 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vc29-vg52-6643 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1897506905615978517 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-27513 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-27513 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-8785-wc3w-h8q6 · Aviso do Fabricante