PT-2026-129126
CVE-2026-118259
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
opentelemetry-java الإصدارات السابقة لـ 1.67.0
Description
تستخدم الدالة
W3CTraceContextPropagator.extract() معالجة محددات التعبيرات النمطية (regex) التي قد تؤدي إلى تراجع تربيعي (quadratic backtracking) عند تحليل رؤوس tracestate التي تحتوي على سلاسل طويلة من المسافات أو علامات التبويب دون وجود فاصلة تليها. يمكن لمهاجم غير مصرح له إرسال رؤوس مصممة خصيصاً للتسبب في استهلاك مفرط لوحدة المعالجة المركزية وحظر خيوط المعالجة (threads) الخاصة بالطلبات أو حلقة الأحداث، مما قد يؤدي إلى حجب الخدمة. يتأثر التأثير الفعلي بتكوين الوكيل (proxy)، وتعدد الخيوط (threading)، وحدود حجم الرأس الوارد.Recommendations
التحديث إلى الإصدار 1.67.0.
رفض أو إزالة رؤوس
tracestate ذات الحجم المفرط قبل استخراج سياق التتبع. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾