CVE-2026-114603

Nome do Software Vulnerável e Versões Afetadas opentelemetry-api versões 1.0.0 até 1.45.0

Description A função TraceState.from header em opentelemetry/trace/span.py, acessada via TraceContextTextMapPropagator.extract, utiliza uma expressão regular para analisar cabeçalhos tracestate do W3C. Esta expressão regular contém uma sequência de espaços opcionais ilimitada que pode levar a um retrocesso quadrático (quadratic backtracking) ao processar cabeçalhos malformados que contenham longas sequências de espaços ou tabulações sem uma vírgula subsequente. Esse comportamento resulta em consumo excessivo de CPU, o que pode ocupar um worker síncrono ou bloquear o loop de eventos em servidores assíncronos, atrasando requisições não relacionadas e impactando a disponibilidade do serviço. O problema ocorre quando o servidor HTTP ou gateway aceita cabeçalhos suficientemente grandes.

Recommendations Atualize o opentelemetry-api para a versão 1.45.1 ou posterior. Como medida paliativa temporária, garanta que os limites de tamanho de cabeçalho HTTP estejam configurados rigorosamente no nível do servidor ou gateway para rejeitar cabeçalhos excessivamente grandes.