Podatności OpenTelemetry Java Instrumentation

Podatność w OpenTelemetry Java Instrumentation przed wersją 2.26.1 umożliwia zdalne wykonanie kodu (RCE) poprzez deserializację niezaufanych danych w rejestracji RMI. Atak wymaga JDK 16 lub starszego, jawnego włączenia portu JMX/RMI oraz obecności bibliotek typu gadget-chain na classpath.

Podatność w bibliotece OpenTelemetry Java Instrumentation przed wersją 2.27.0 pozwala atakującemu na wysłanie zbyt dużego ładunku kontekstu propagacji RMI, co prowadzi do nadmiernego przydziału pamięci i potencjalnie do odmowy usługi (DoS). Problem dotyczy tylko środowisk z włączoną instrumentacją RMI i dostępnym sieciowo punktem końcowym RMI.

Podatność w OpenTelemetry Java Instrumentation przed wersją 2.28.0 powoduje, że autoinstrumentacja JDBC może nie oczyścić haseł w instrukcjach SQL CONNECT, gdy hasło jest ujęte w podwójne cudzysłowy. W efekcie hasła w postaci jawnego tekstu mogą być dodawane do atrybutów spanów i eksportowane do systemów obserwowalności.

OpenTelemetry Java Instrumentation przed wersją 1.28.0 ma problem z instrumentacją aplikacji Java korzystających z AWS SDK v2 i Amazon Simple Email Service (SES) v1 API. W przypadku instrumentacji żądań POST do SES, parametry zapytania są wstawiane do pola `url.path`, co prowadzi do ujawnienia treści e-maila w metadanych telemetrycznych.