CVE-2023-39951
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
OpenTelemetry Java Instrumentation przed wersją 1.28.0 ma problem z instrumentacją aplikacji Java korzystających z AWS SDK v2 i Amazon Simple Email Service (SES) v1 API. W przypadku instrumentacji żądań POST do SES, parametry zapytania są wstawiane do pola `url.path`, co prowadzi do ujawnienia treści e-maila w metadanych telemetrycznych.
Ocena ryzyka
Ujawnienie treści e-maila może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji, co stanowi poważne ryzyko dla organizacji.
Rekomendacja
Zaleca się aktualizację OpenTelemetry Java Instrumentation do wersji 1.28.0 lub nowszej, aby zminimalizować ryzyko ujawnienia danych.
Inne podatności w OpenTelemetry Java Instrumentation
Zobacz wszystkie- CVE-2026-33701Krytyczne
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.26.1 umożliwia zdalne wykonanie kodu (RCE) poprzez deserializację niezaufanych danych w rejestracji RMI. Atak wymaga JDK 16 lub starszego, jawnego włączenia portu JMX/RMI oraz obecności bibliotek typu gadget-chain na classpath.
- CVE-2026-54712Średnie
Podatność w bibliotece OpenTelemetry Java Instrumentation przed wersją 2.27.0 pozwala atakującemu na wysłanie zbyt dużego ładunku kontekstu propagacji RMI, co prowadzi do nadmiernego przydziału pamięci i potencjalnie do odmowy usługi (DoS). Problem dotyczy tylko środowisk z włączoną instrumentacją RMI i dostępnym sieciowo punktem końcowym RMI.
- CVE-2026-54704Średnie
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.28.0 powoduje, że autoinstrumentacja JDBC może nie oczyścić haseł w instrukcjach SQL CONNECT, gdy hasło jest ujęte w podwójne cudzysłowy. W efekcie hasła w postaci jawnego tekstu mogą być dodawane do atrybutów spanów i eksportowane do systemów obserwowalności.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry Java Instrumentation provides OpenTelemetry auto-instrumentation and instrumentation libraries for Java. OpenTelemetry Java Instrumentation prior to version 1.28.0 contains an issue related to the instrumentation of Java applications using the AWS SDK v2 with Amazon Simple Email Service (SES) v1 API. When SES POST requests are instrumented, the query parameters of the request are inserted into the trace `url.path` field. This behavior leads to the http body, containing the email subject and message, to be present in the trace request url metadata. Any user using a version before 1.28.0 of OpenTelemetry Java Instrumentation to instrument AWS SDK v2 call to SES’s v1 SendEmail API is affected. The e-mail content sent to SES may end up in telemetry backend. This exposes the e-mail content to unintended audiences. The issue can be mitigated by updating OpenTelemetry Java Instrumentation to version 1.28.0 or later.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS