PT-2026-31016 · Opentelemetry · Opentelemetry-Go
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
OpenTelemetry-Go versões 1.36.0 até 1.40.0
Descrição
A implementação OpenTelemetry-Go é suscetível a um problema de amplificação de requisições remotas devido à forma como lida com os cabeçalhos baggage de múltiplos valores. Especificamente, a função
extractMultiBaggage em propagation/baggage.go analisa cada valor de campo de cabeçalho baggage independentemente e agrega os resultados. Um invasor pode explorar isso enviando inúmeras linhas de cabeçalho baggage, mesmo que cada valor individual esteja dentro do limite de 8192 bytes, levando ao aumento do uso da CPU e alocações de memória. Isso pode resultar em maior latência e potenciais condições de negação de serviço. A vulnerabilidade está relacionada à análise de cabeçalhos recebidos em requisições HTTP. A função vulnerável é extractMultiBaggage.Recomendações
Atualize para a versão 1.41.0 ou posterior.
Exploit
Correção
DoS
Resource Exhaustion
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Opentelemetry-Go