CVE-2026-128086

Nome do Software Vulnerável e Versões Afetadas OpenTelemetry-Go versões 1.0.0-RC1 through 1.46.9

Description O OpenTelemetry-Go materializa ansiosamente os metadados de bagagem W3C em objetos de propriedade durante a análise (parsing). Esse processo envolve o crescimento de fatias (slices), serialização e cópia para representações internas, o que causa uma amplificação da alocação de memória ao processar um cabeçalho válido e densamente preenchido. Por exemplo, uma entrada válida de 8.191 bytes contendo 4.094 propriedades pode resultar em aproximadamente 778 KB de alocação cumulativa por análise. Esse problema pode aumentar a pressão de alocação e de coleta de lixo (garbage-collection), impactando potencialmente o desempenho, embora a terminação confiável do processo ou a negação total de serviço não tenham sido estabelecidas. A exploração remota é possível se a extração de bagagem estiver habilitada, a entrada controlada pelo invasor atingir o sistema e a extração ocorrer antes da autenticação ou em uma rota pública.

O problema é acionado através dos seguintes pontos de entrada:

A causa raiz está na função parseMember, onde as propriedades são materializadas ansiosamente e copiadas para internal/baggage.Item.

Recommendations Atualize o OpenTelemetry-Go para a versão 1.47.0. Como mitigação temporária, garanta que a autenticação seja realizada antes da extração de bagagem para evitar que usuários não autenticados acionem a amplificação de alocação. Restrinja o uso de baggage.Parse e propagation.Baggage.Extract em rotas públicas ou entradas não autenticadas.