CVE-2026-54704
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.28.0 powoduje, że autoinstrumentacja JDBC może nie oczyścić haseł w instrukcjach SQL CONNECT, gdy hasło jest ujęte w podwójne cudzysłowy. W efekcie hasła w postaci jawnego tekstu mogą być dodawane do atrybutów spanów i eksportowane do systemów obserwowalności.
Ocena ryzyka
Ryzyko polega na wycieku haseł do baz danych w postaci jawnego tekstu do zewnętrznych systemów monitorujących, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Należy niezwłocznie zaktualizować OpenTelemetry Java Instrumentation do wersji 2.28.0 lub nowszej, która zawiera poprawkę usuwającą tę lukę.
Inne podatności w OpenTelemetry Java Instrumentation
Zobacz wszystkie- CVE-2026-33701Krytyczne
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.26.1 umożliwia zdalne wykonanie kodu (RCE) poprzez deserializację niezaufanych danych w rejestracji RMI. Atak wymaga JDK 16 lub starszego, jawnego włączenia portu JMX/RMI oraz obecności bibliotek typu gadget-chain na classpath.
- CVE-2026-54712Średnie
Podatność w bibliotece OpenTelemetry Java Instrumentation przed wersją 2.27.0 pozwala atakującemu na wysłanie zbyt dużego ładunku kontekstu propagacji RMI, co prowadzi do nadmiernego przydziału pamięci i potencjalnie do odmowy usługi (DoS). Problem dotyczy tylko środowisk z włączoną instrumentacją RMI i dostępnym sieciowo punktem końcowym RMI.
- CVE-2023-39951Średnie
OpenTelemetry Java Instrumentation przed wersją 1.28.0 ma problem z instrumentacją aplikacji Java korzystających z AWS SDK v2 i Amazon Simple Email Service (SES) v1 API. W przypadku instrumentacji żądań POST do SES, parametry zapytania są wstawiane do pola `url.path`, co prowadzi do ujawnienia treści e-maila w metadanych telemetrycznych.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry Java Instrumentation provides OpenTelemetry auto-instrumentation and instrumentation libraries for Java. In versions prior to 2.28.0, the JDBC auto-instrumentation may fail to sanitize passwords in SQL CONNECT statements when the password is double-quoted. As a result, clear-text database passwords can be added to trace span attributes and exported to observability backends. This issue has been fixed in version 2.28.0.