CVE-2026-44902

إصدارات opentelemetry-js الأقدم من 0.217.0

يمكن لطلب HTTP واحد مشوه أن يتسبب في تعطل أي عملية Node.js تعمل على مُصدِّر OpenTelemetry JS Prometheus. تفتقر نقطة نهاية المقاييس (الافتراضية ’0.0.0.0:9464‘) إلى معالجة الأخطاء أثناء تحليل عنوان URL. عند استلام طلب يحتوي على عنوان URI غير صالح، تستدعي الدالة requestHandler منشئ URL، الذي يطلق استثناء TypeError لم يتم التقاطه، مما يؤدي إلى حدوث هجوم رفض الخدمة. يحدث هذا لأن محلل HTTP يقبل عناوين URI ذات الصيغة المطلقة من أجل التوافق مع البروكسي، وتؤدي قيمة مثل ”http://“ إلى إطلاق الاستثناء. نقطة النهاية غير خاضعة للمصادقة حسب التصميم وترتبط بـ ’0.0.0.0‘ افتراضيًا، مما يجعلها قابلة للوصول من قبل أي عميل شبكة.

قم بتحديث @opentelemetry/exporter-prometheus و@opentelemetry/sdk-node إلى الإصدار 0.217.0 أو أحدث.

قم بتحديث @opentelemetry/auto-instrumentations-node إلى الإصدار 0.75.0 أو أحدث.

قم بتقييد الوصول إلى نقطة نهاية المقاييس بحيث لا يمكن الوصول إليها من قبل عملاء الشبكة غير الموثوق بهم أو غير المصادق عليهم، مثل ربط خيار host بـ ’127.0.0.1‘.

استخدم جدار حماية أو سياسة شبكة لتقييد الوصول إلى المنفذ «9464» بحيث يقتصر على مضيفات جمع البيانات الموثوقة في Prometheus فقط.

ضع نقطة النهاية خلف وكيل عكسي لتصفية الطلبات الواردة أو التحقق من صحتها.