Podatności OpenTelemetry dotnet

OpenTelemetry dotnet to framework telemetrii dla .NET. W pakietach OpenTelemetry.Api 0.5.0-beta.2 do 1.15.2 oraz OpenTelemetry.Extensions.Propagators 1.3.1 do 1.15.2 implementacja przetwarzania baggage, B3 i Jaeger może alokować nadmierną pamięć podczas parsowania, co może powodować potencjalną odmowę usługi (DoS) w aplikacji konsumującej. Podatność naprawiono w wersji 1.15.3.

Biblioteka OpenTelemetry dotnet w wersjach od 1.13.1 do przed 1.15.2 podczas eksportu telemetrii przez gRPC (OTLP) może przetwarzać zniekształcony nagłówek grpc-status-details-bin. Może to prowadzić do nadmiernej alokacji pamięci i potencjalnego ataku typu denial of service (DoS).

W OpenTelemetry dotnet w wersjach od 1.13.1 do przed 1.15.2 podczas eksportu telemetrii do backendu/kolektora przez gRPC lub HTTP w formacie OTLP, nieudane żądanie (HTTP 4xx lub 5xx) powoduje odczyt odpowiedzi do pamięci bez górnego limitu bajtów. Może to prowadzić do wyczerpania pamięci w aplikacji, jeśli punkt końcowy jest kontrolowany przez atakującego lub możliwy jest MitM i zwracane jest bardzo duże ciało odpowiedzi.