PT-2026-39240 · Nuget · Opentelemetry.Exporter.Instana

Smartincostello · Publicado 2026-05-08 · Atualizado 2026-05-29 · CVE-2026-44213

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenTelemetry.Exporter.Instana (versões afetadas não especificadas)

Descrição O pacote NuGet OpenTelemetry.Exporter.Instana não valida certificados HTTPS/TLS ao enviar telemetria para um back-end Instana quando um proxy é configurado por meio da variável de ambiente INSTANA ENDPOINT PROXY. A função Transport.ConfigureBackendClient() cria uma instância de HttpClient que desativa a validação do certificado de servidor TLS. Isso permite que um invasor de rede realize um ataque de Man-in-the-Middle (MitM)—uma técnica onde um invasor intercepta a comunicação entre duas partes—para expor todos os dados de telemetria do OpenTelemetry e a chave de API do Instana.

Recomendações Não configure a variável de ambiente INSTANA ENDPOINT PROXY. Como medida paliativa temporária, restrinja o uso da variável de ambiente INSTANA ENDPOINT PROXY apenas a ambientes confiáveis.

Exploit

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2026-44213

GHSA-WFR5-454P-MJC2

Produtos afetados

Opentelemetry.Exporter.Instana

Referências · 7

• 🔥 https://github.com/open-telemetry/opentelemetry-dotnet-contrib/security/advisories/GHSA-wfr5-454p-mjc2 · Exploit
• https://github.com/open-telemetry/opentelemetry-dotnet-contrib · Nota
• https://t.me/CVEtracker/55028 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-wfr5-454p-mjc2 · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/2054372806796693850 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44213 · Nota de Segurança
• https://t.me/cveNotify/165224 · Publicação no Telegram