CVE-2026-81871

Nome do Software Vulnerável e Versões Afetadas OpenTelemetry-Go versões anteriores a 0.21.0

Descrição O pacote exporters/otlp/otlplog/otlploggrpc carrega configurações de TLS de variáveis de ambiente para cfg.tlsCfg através da função loadEnvTLS(), mas a função newGRPCDialOptions() não aplica essa configuração ao criar credenciais de transporte gRPC. Isso faz com que a conexão retorne às CAs raiz do sistema e omita o certificado do cliente, ignorando o TLS mútuo (mTLS) e o pinning de CA privada pretendidos. Um invasor de rede capaz de interceptar ou falsificar a conexão do coletor usando um certificado confiável pelo sistema pode ler ou alterar a telemetria de logs. Isso ocorre quando a aplicação depende exclusivamente de variáveis de ambiente como OTEL EXPORTER OTLP LOGS CERTIFICATE e OTEL EXPORTER OTLP CERTIFICATE sem fornecer explicitamente WithTLSCredentials.

Recomendações Atualize o OpenTelemetry-Go para a versão 0.21.0. Como solução temporária, forneça explicitamente WithTLSCredentials para garantir que a configuração de TLS pretendida seja aplicada.