CVE-2026-40891
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Biblioteka OpenTelemetry dotnet w wersjach od 1.13.1 do przed 1.15.2 podczas eksportu telemetrii przez gRPC (OTLP) może przetwarzać zniekształcony nagłówek grpc-status-details-bin. Może to prowadzić do nadmiernej alokacji pamięci i potencjalnego ataku typu denial of service (DoS).
Ocena ryzyka
Złośliwy lub przejęty serwer kolektora telemetrii może spowodować wyczerpanie pamięci aplikacji, prowadząc do niedostępności usługi.
Rekomendacja
Zaktualizować bibliotekę OpenTelemetry dotnet do wersji 1.15.2 lub nowszej.
Inne podatności w OpenTelemetry dotnet
Zobacz wszystkie- CVE-2026-40894Średnie
OpenTelemetry dotnet to framework telemetrii dla .NET. W pakietach OpenTelemetry.Api 0.5.0-beta.2 do 1.15.2 oraz OpenTelemetry.Extensions.Propagators 1.3.1 do 1.15.2 implementacja przetwarzania baggage, B3 i Jaeger może alokować nadmierną pamięć podczas parsowania, co może powodować potencjalną odmowę usługi (DoS) w aplikacji konsumującej. Podatność naprawiono w wersji 1.15.3.
- CVE-2026-40182Średnie
W OpenTelemetry dotnet w wersjach od 1.13.1 do przed 1.15.2 podczas eksportu telemetrii do backendu/kolektora przez gRPC lub HTTP w formacie OTLP, nieudane żądanie (HTTP 4xx lub 5xx) powoduje odczyt odpowiedzi do pamięci bez górnego limitu bajtów. Może to prowadzić do wyczerpania pamięci w aplikacji, jeśli punkt końcowy jest kontrolowany przez atakującego lub możliwy jest MitM i zwracane jest bardzo duże ciało odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry dotnet is a dotnet telemetry framework. From 1.13.1 to before 1.15.2, When exporting telemetry over gRPC using the OpenTelemetry Protocol (OTLP), the exporter may parse a server-provided grpc-status-details-bin trailer during retry handling. Prior to the fix, a malformed trailer could encode an extremely large length-delimited protobuf field which was used directly for allocation, allowing excessive memory allocation and potential denial of service (DoS). This vulnerability is fixed in 1.15.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS