CVE-2026-48504

Nome do Software Vulnerável e Versões Afetadas OpenTelemetry Rust versões 0.32.0 e anteriores

Description A função BaggagePropagator::extract with context em opentelemetry sdk não aplica os limites de tamanho do W3C Baggage antes de analisar um cabeçalho baggage de entrada. Um invasor pode fornecer um cabeçalho grande para causar uso excessivo de CPU e alocações temporárias de heap durante a análise de entradas que são posteriormente descartadas pelos limites de armazenamento do SDK. Isso pode resultar em aumento do uso de recursos por requisição e potencial negação de serviço para serviços que aceitam cabeçalhos de propagação de entrada não confiáveis, especialmente se os limites de cabeçalho do nível de transporte estiverem ausentes ou excederem os padrões W3C.

Recommendations Atualize o OpenTelemetry Rust para a versão 0.32.1. Como medida paliativa temporária, rejeite ou limite cabeçalhos baggage de entrada maiores que 8192 bytes em um proxy, gateway, camada de middleware ou limite de transportador personalizado antes de invocar a extração de propagação do OpenTelemetry.