PT-2026-41161 · Unknown · Opentelemetry-Java
CVSS v3.1
7.5
عالية
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات opentelemetry-java الأقدم من 1.62.0
الوصف
يسمح عيب في تنفيذ انتشار «baggage» داخل
opentelemetry-api وopentelemetry-extension-trace-propagators بتخصيص ذاكرة غير محدود واستهلاك غير محدود لوحدة المعالجة المركزية (CPU) عند تحليل «baggage» ذات الحجم الزائد. يحدث هذا لأن W3CBaggagePropagator وJaegerPropagator وOtTracePropator لم تفرض قيودًا على الحجم الإجمالي أو عدد العناصر في رأس baggage، حيث تقوم بالتكرار عبر القيم بغض النظر عن طولها. ونظرًا لأن البيانات (baggage) يتم إعادة إدخالها تلقائيًا في الطلبات الصادرة، فقد يمتد التأثير إلى الخدمات التالية. يزداد الخطر في البيئات التي تفتقر إلى قيود طبقة النقل، مثل الخدمات الداخلية المخترقة التي تستخدم بروتوكولات نقل غير HTTP أو مخصصة.التوصيات
قم بالتحديث إلى الإصدار 1.62.0 أو أحدث.
تأكد من تكوين حدود حجم رؤوس HTTP على مستوى الخادم أو البوابة.
استغلال
إصلاح
Allocation of Resources Without Limits
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Opentelemetry-Java