PT-2026-34721 · Unknown · Opentelemetry.Sampler.Aws+1

Publicado

2026-04-23

·

Atualizado

2026-04-28

·

CVE-2026-41173

CVSS v3.1

5.9

Média

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Name of the Vulnerable Software and Affected Versions OpenTelemetry.Sampler.AWS versões anteriores a 0.1.0-alpha.8 OpenTelemetry.Resources.AWS versões anteriores a 1.15.1
Description OpenTelemetry.Sampler.AWS e OpenTelemetry.Resources.AWS leem corpos de resposta HTTP ilimitados de endpoints configurados para a memória. No OpenTelemetry.Sampler.AWS, a função AWSXRaySamplerClient.DoRequestAsync chama HttpClient.SendAsync seguido de ReadAsStringAsync(), o que materializa todo o corpo da resposta em uma única string na memória sem limite de tamanho. O endpoint de amostragem é configurável via AWSXRayRemoteSamplerBuilder.SetEndpoint (padrão: 'http://localhost:2000'). No OpenTelemetry.Resources.AWS, as funções AWSEC2Detector(), AWSECSDetector() e AWSEKSDetector() fazem requisições HTTP para serviços de metadados da AWS ('http://169.254.169.254', ECS CONTAINER METADATA URI/ECS CONTAINER METADATA URI V4 ou 'https://kubernetes.default.svc'). Um invasor que controle esses endpoints ou realize um ataque de Man-in-the-Middle (MitM) pode retornar um corpo de resposta arbitrariamente grande, causando alocação de heap ilimitada. Isso leva a uma alta pressão de memória transitória, interrupções na coleta de lixo (garbage-collection) ou uma OutOfMemoryException que encerra o processo, resultando em Negação de Serviço (DoS).
Recommendations Atualize o OpenTelemetry.Sampler.AWS para a versão 0.1.0-alpha.8. Atualize o OpenTelemetry.Resources.AWS para a versão 1.15.1. Garanta que o endpoint de amostragem do X-Ray não esteja acessível a partes não confiáveis. Use controles de nível de rede, como regras de firewall, mTLS ou service mesh, para evitar ataques de Man-in-the-Middle (MitM) no endpoint de amostragem e nas conexões EC2/ECS/EKS. Coloque endpoints remotos atrás de um proxy reverso que imponha um limite de tamanho para o corpo da resposta.

Correção

DoS

Allocation of Resources Without Limits

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-41173
GHSA-28XM-PRXC-5866

Produtos afetados

Opentelemetry.Resources.Aws
Opentelemetry.Sampler.Aws