CVE-2026-116694

ŚrednieCVSS 6.3

Opublikowano: 27/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W OpenTelemetry Python przed wersją 1.45.0 funkcja JaegerPropagator.extract() w opentelemetry-propagator-jaeger przetwarza przychodzące wartości uberctx-* bez limitów na wpis, bajty na wpis ani łączną liczbę bajtów. Gdy niezaufany nośnik dostarczy wiele lub zbyt duże wartości, usługa wykonuje zbędną pracę CPU i krótkotrwałe alokacje pamięci, przyczyniając się do ataku typu denial of service.

Ocena ryzyka

Atakujący może zdalnie wywołać atak typu denial of service na usługi z włączonym propagatorem Jaeger. Domyślne limity serwerów HTTP w Pythonie zmniejszają praktyczny wpływ, ale niestandardowe gettery lub podniesione limity nagłówków zwiększają ekspozycję.

Rekomendacja

Zaktualizuj OpenTelemetry Python do wersji 1.45.0 lub nowszej. Rozważ ograniczenie rozmiaru nagłówków na poziomie transportu oraz wyłączenie propagatora Jaeger, jeśli nie jest używany.

Inne podatności w OpenTelemetry Python

CVE-2026-114603Średnie
OpenTelemetry Python przed wersją 1.45.1 zawiera funkcję TraceState.from_header, która parsuje przychodzące nagłówki W3C tracestate za pomocą wyrażenia regularnego z nieograniczoną opcjonalną białą spacją. Złośliwy nagłówek z długim ciągiem spacji lub tabulatorów bez przecinka powoduje kwadratowe cofanie, prowadząc do nadmiernego zużycia CPU przy jednym nieuwierzytelnionym żądaniu.

Oryginalny opis (angielski, źródło NVD)

OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.0, JaegerPropagator.extract() in opentelemetry-propagator-jaeger processes inbound uberctx-* baggage values without entry, per-entry byte, or total-byte limits. Services that enable the optional Jaeger propagator can perform unnecessary CPU work and short-lived heap allocations when an untrusted carrier supplies numerous or oversized values, contributing to denial of service when transport-level limits do not constrain the input. Common default Python HTTP server limits reduce the practical impact, while custom getters, non-HTTP transports, or raised header limits increase exposure. This issue is fixed in version 1.45.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS