CVE-2026-128086

اسم البرنامج المتأثر والإصدارات المتأثرة OpenTelemetry-Go الإصدارات من 1.0.0-RC1 إلى 1.46.9

Description يقوم OpenTelemetry-Go بتجسيد بيانات وصف الأمتعة (baggage) الخاصة بـ W3C بشكل تسرعي إلى كائنات خصائص أثناء عملية التحليل. تتضمن هذه العملية نمو الشرائح (slices)، والتسلسل، والنسخ إلى تمثيلات داخلية، مما يؤدي إلى تضخم في تخصيص الذاكرة عند معالجة رأس (header) صالح ومكتظ بالبيانات. على سبيل المثال، يمكن أن تؤدي مدخلات صالحة بحجم 8,191 بايت تحتوي على 4,094 خاصية إلى تخصيص تراكمي يصل إلى 778 كيلوبايت تقريبًا لكل عملية تحليل. يمكن أن تؤدي هذه المشكلة إلى زيادة الضغط على تخصيص الذاكرة وعملية جمع المهملات (garbage-collection)، مما قد يؤثر على الأداء، على الرغم من عدم إثبات حدوث إنهاء موثوق للعملية أو حجب كامل للخدمة. يمكن أن يحدث الاستغلال عن بُعد إذا كانت عملية استخراج الأمتعة مفعلة، ووصلت مدخلات يتحكم فيها المهاجم إلى النظام، وتمت عملية الاستخراج قبل المصادقة أو عبر مسار عام.

يتم تحفيز هذه المشكلة من خلال نقاط الدخول التالية:

السبب الجذري موجود في الدالة parseMember حيث يتم تجسيد الخصائص بشكل تسرعي ونسخها إلى internal/baggage.Item.

Recommendations تحديث OpenTelemetry-Go إلى الإصدار 1.47.0. كإجراء تخفيف مؤقت، تأكد من إجراء المصادقة قبل استخراج الأمتعة لمنع المستخدمين غير المصرح لهم من تحفيز تضخم تخصيص الذاكرة. تقييد استخدام baggage.Parse و propagation.Baggage.Extract في المسارات العامة أو المدخلات غير المصادق عليها.