CVE-2026-118259

ŚrednieCVSS 5.3

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

opentelemetry-java w wersjach przed 1.67.0 ma podatność w W3CTraceContextPropagator.extract(), gdzie przetwarzanie separatorów regex może wykazywać kwadratowe cofanie się przy parsowaniu nagłówków tracestate zawierających długie ciągi spacji lub tabulatorów bez następującego przecinka. Nieuwierzytelniony atakujący może blokować wątki i powodować nadmierne zużycie CPU.

Ocena ryzyka

Atakujący może wywołać nadmierne zużycie CPU i blokadę wątków obsługi żądań, co prowadzi do degradacji lub niedostępności usługi.

Rekomendacja

Zaktualizuj opentelemetry-java do wersji 1.67.0. Rozważ ograniczenie rozmiaru nagłówków na poziomie ingress/proxy.

Inne podatności w opentelemetry-java

CVE-2026-45292Średnie
Implementacja OpenTelemetry w Javie (opentelemetry-api i opentelemetry-extension-trace-propagators) przed wersją 1.62.0 jest podatna na atak polegający na przetwarzaniu zbyt dużego baggage, co prowadzi do nieograniczonego przydziału pamięci i zużycia CPU. Baggage jest automatycznie wstrzykiwane do każdego wychodzącego żądania, co może rozprzestrzenić atak na usługi downstream.

Oryginalny opis (angielski, źródło NVD)

opentelemetry-java is the Java implementation of the OpenTelemetry API for recording telemetry, and SDK for managing telemetry recorded by the API. Prior to 1.67.0, W3CTraceContextPropagator.extract() uses regex delimiter processing that can exhibit quadratic backtracking while parsing tracestate headers containing long runs of spaces or tabs without a following comma. An unauthenticated attacker whose headers reach extraction can repeatedly block request or event-loop threads and cause excessive CPU consumption, with practical impact bounded by ingress header-size limits, proxy configuration, and threading. This issue is fixed in version 1.67.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS