CVE-2026-81871

OpenTelemetry-Go to implementacja OpenTelemetry w Go. Przed wersją 0.21.0 pakiet go.opentelemetry.io/otel/sdk/log BatchingProcessor może wejść w ciasną pętlę CPU, gdy emisja logów sterowana przez atakującego wypełnia asynchroniczny bufor eksportu, podczas gdy eksporter jest poddany backpressure. Nowy BatchingProcessor opakowuje eksporter w newBufferExporter(exporter, 1), a pętla odpytywania wywołuje queue.TryDequeue i bufferExporter.EnqueueExport przed natychmiastowym sygnalizowaniem pollTrigger, gdy kolejka pozostaje na poziomie lub powyżej batchSize. Ponieważ nieudane nieblokujące EnqueueExport pozostawia długość kolejki niezmienioną, procesor wielokrotnie ponawia próby bez oczekiwania na swój ticker, wyczerpując CPU i degradując lub odmawiając usługi w procesie osadzającym.

OpenTelemetry-Go to implementacja OpenTelemetry w Go. Od wersji 1.10.0 do 1.33.0 ścieżka obcinania atrybutów w sdk/trace/span.go może nie egzekwować AttributeValueLengthLimit dla atrybutów typu string i string-slice zawierających prawidłowy znak zastępczy Unicode U+FFFD. safeTruncateValidUTF8 traktuje prawidłowy znak zastępczy jako nieprawidłowy UTF-8 i zwraca oryginalne dane wejściowe, podczas gdy strings.ToValidUTF8 pozostawia ten prawidłowy znak niezmieniony, więc druga próba safeTruncate może również zwrócić zbyt dużą wartość. Atakujący kontrolujący zawartość atrybutów span może zachować wartości dłuższe niż skonfigurowany limit, zwiększając zużycie pamięci na span i osłabiając ochronę przed atakami typu denial-of-service w procesie instrumentowanym.

OpenTelemetry-Go w wersjach od 1.5.0 do 1.44.0 w sdk/trace.NewTracerProvider emituje wewnętrzne zdarzenie diagnostyczne Info, którego implementacje MarshalLog rekurencyjnie zawierają konfigurację procesora span, eksportera i klienta. Aplikacje wywołujące otel.SetLogger mogą rejestrować punkty końcowe kolektorów OTLP gRPC i HTTP, flagę Insecure OTLP HTTP oraz pełne adresy URL kolektorów Zipkin.

OpenTelemetry-Go w wersjach od 0.11.0 do 1.44.0 ma podatność na panikę w moście OpenTracing z powodu niesynchronizowanej mapy extraBaggageItems. Jednoczesne wywołania SetBaggageItem i correlation.MapFromContext na tym samym bridgeSpan mogą prowadzić do błędu krytycznego i zatrzymania procesu, co powoduje odmowę usługi. Poprawka jest w wersji 1.45.0.

Implementacja OpenTelemetry-Go przed wersją 0.0.17 wycieka jeden deskryptor pliku przy każdym udanym wywołaniu `ParseFile`. Wielokrotne parsowanie w długotrwałym procesie może wyczerpać limit deskryptorów plików i spowodować odmowę usługi.

OpenTelemetry-Go w wersjach 1.41.0 i 1.43.0 usunęło odrzucanie surowej długości, co powoduje, że funkcja `Parse` przetwarza dowolnie duże/nieprawidłowe nagłówki baggage i loguje błędy, umożliwiając atak DoS przez zbyt duże dane wejściowe. Wersje 1.42.0 i 1.44.0 naprawiają ten problem.

W OpenTelemetry-Go od wersji 1.15.0 do 1.42.0, poprawka dla CVE-2026-24051 zmieniła polecenie ioreg na ścieżkę bezwzględną, ale pozostawiła polecenie kenv z gołą nazwą, co umożliwia atak typu PATH hijacking na platformach BSD i Solaris.

Biblioteka OpenTelemetry-Go przed wersją 1.43.0 odczytuje pełną treść odpowiedzi HTTP do bufora w pamięci bez ograniczenia rozmiaru. Może to prowadzić do wyczerpania pamięci, gdy skonfigurowany punkt końcowy kolektora jest kontrolowany przez atakującego lub gdy atakujący może przechwycić połączenie.

OpenTelemetry-Go w wersjach od 1.36.0 do 1.40.0 przetwarza nagłówki 'baggage' w sposób umożliwiający atakującemu zwiększenie użycia CPU i alokacji pamięci poprzez wysłanie wielu linii nagłówka, nawet jeśli każda wartość mieści się w limicie 8192 bajtów.