CVE-2026-54712
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece OpenTelemetry Java Instrumentation przed wersją 2.27.0 pozwala atakującemu na wysłanie zbyt dużego ładunku kontekstu propagacji RMI, co prowadzi do nadmiernego przydziału pamięci i potencjalnie do odmowy usługi (DoS). Problem dotyczy tylko środowisk z włączoną instrumentacją RMI i dostępnym sieciowo punktem końcowym RMI.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci na serwerze aplikacji Java, prowadząc do niedostępności usługi dla użytkowników. Ryzyko jest szczególnie wysokie w systemach krytycznych, gdzie dostępność jest kluczowa.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę OpenTelemetry Java Instrumentation do wersji 2.27.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie instrumentacji RMI lub ograniczenie dostępu sieciowego do punktów końcowych RMI.
Inne podatności w OpenTelemetry Java Instrumentation
Zobacz wszystkie- CVE-2026-33701Krytyczne
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.26.1 umożliwia zdalne wykonanie kodu (RCE) poprzez deserializację niezaufanych danych w rejestracji RMI. Atak wymaga JDK 16 lub starszego, jawnego włączenia portu JMX/RMI oraz obecności bibliotek typu gadget-chain na classpath.
- CVE-2026-54704Średnie
Podatność w OpenTelemetry Java Instrumentation przed wersją 2.28.0 powoduje, że autoinstrumentacja JDBC może nie oczyścić haseł w instrukcjach SQL CONNECT, gdy hasło jest ujęte w podwójne cudzysłowy. W efekcie hasła w postaci jawnego tekstu mogą być dodawane do atrybutów spanów i eksportowane do systemów obserwowalności.
- CVE-2023-39951Średnie
OpenTelemetry Java Instrumentation przed wersją 1.28.0 ma problem z instrumentacją aplikacji Java korzystających z AWS SDK v2 i Amazon Simple Email Service (SES) v1 API. W przypadku instrumentacji żądań POST do SES, parametry zapytania są wstawiane do pola `url.path`, co prowadzi do ujawnienia treści e-maila w metadanych telemetrycznych.
Oryginalny opis (angielski, źródło NVD)
OpenTelemetry Java Instrumentation provides OpenTelemetry auto-instrumentation and instrumentation libraries for Java. In versions prior to 2.27.0, the RMI context propagation payload reader limits the number of context entries but does not limit the aggregate size of the strings read from the stream. An attacker who can reach an RMI endpoint on an instrumented JVM can send an oversized context propagation payload. This can cause excessive memory allocation while the JVM reads the payload, potentially leading to denial of service. The issue affects only deployments where RMI instrumentation is enabled and an RMI endpoint is network-reachable. This issue has been fixed in version 2.27.0.