CVE-2026-45404
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
OpenTelemetry-Go w wersjach od 0.11.0 do 1.44.0 ma podatność na panikę w moście OpenTracing z powodu niesynchronizowanej mapy extraBaggageItems. Jednoczesne wywołania SetBaggageItem i correlation.MapFromContext na tym samym bridgeSpan mogą prowadzić do błędu krytycznego i zatrzymania procesu, co powoduje odmowę usługi. Poprawka jest w wersji 1.45.0.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego spowodowania awarii aplikacji korzystających z OpenTelemetry-Go, co może prowadzić do przerwania działania usług i utraty dostępności.
Rekomendacja
Zaleca się aktualizację OpenTelemetry-Go do wersji 1.45.0 lub nowszej oraz unikanie współbieżnego używania tych funkcji w kodzie.
Inne podatności w OpenTelemetry-Go
Zobacz wszystkie- CVE-2026-45287Średnie
Implementacja OpenTelemetry-Go przed wersją 0.0.17 wycieka jeden deskryptor pliku przy każdym udanym wywołaniu `ParseFile`. Wielokrotne parsowanie w długotrwałym procesie może wyczerpać limit deskryptorów plików i spowodować odmowę usługi.
- CVE-2026-41178Średnie
OpenTelemetry-Go w wersjach 1.41.0 i 1.43.0 usunęło odrzucanie surowej długości, co powoduje, że funkcja `Parse` przetwarza dowolnie duże/nieprawidłowe nagłówki baggage i loguje błędy, umożliwiając atak DoS przez zbyt duże dane wejściowe. Wersje 1.42.0 i 1.44.0 naprawiają ten problem.
- CVE-2026-39883Wysokie
W OpenTelemetry-Go od wersji 1.15.0 do 1.42.0, poprawka dla CVE-2026-24051 zmieniła polecenie ioreg na ścieżkę bezwzględną, ale pozostawiła polecenie kenv z gołą nazwą, co umożliwia atak typu PATH hijacking na platformach BSD i Solaris.
- CVE-2026-39882Średnie
Biblioteka OpenTelemetry-Go przed wersją 1.43.0 odczytuje pełną treść odpowiedzi HTTP do bufora w pamięci bez ograniczenia rozmiaru. Może to prowadzić do wyczerpania pamięci, gdy skonfigurowany punkt końcowy kolektora jest kontrolowany przez atakującego lub gdy atakujący może przechwycić połączenie.
- CVE-2026-29181Wysokie
OpenTelemetry-Go w wersjach od 1.36.0 do 1.40.0 przetwarza nagłówki 'baggage' w sposób umożliwiający atakującemu zwiększenie użycia CPU i alokacji pamięci poprzez wysłanie wielu linii nagłówka, nawet jeśli każda wartość mieści się w limicie 8192 bajtów.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry-Go is the Go implementation of OpenTelemetry. From version 0.11.0 through 1.44.0, the OpenTracing bridge's bridgeSpan contains an unsynchronized extraBaggageItems map which can cause a panic. Because Go maps are not safe for concurrent read/write access, concurrent SetBaggageItem and correlation.MapFromContext calls on the same hooked bridgeSpan can trigger a fatal runtime error—such as concurrent map read and map write or concurrent map iteration and map write—terminating the process and causing denial of service. This issue is fixed in version 1.45.0.