CVE-2026-81871 in OpenTelemetry
الملخص
بحسب VulDB • 16/09/2026
OpenTelemetry-Go هو تنفيذ OpenTelemetry بلغة Go. قبل الإصدار 0.21.0، يقوم الحزمة `exporters/otlp/otlplog/otlploggrpc` بتحميل متغيرات البيئة الخاصة بـ OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE و OTEL_EXPORTER_OTLP_CERTIFICATE وشهادات العميل ذات الصلة عبر دالة loadEnvTLS إلى cfg.tlsCfg، لكن دالة newGRPCDialOptions لا تطبق cfg.tlsCfg عند إنشاء بيانات اعتماد نقل gRPC. بدلاً من ذلك، يستخدم مسار TLS المعتمد على البيئة فقط `credentials.NewTLS` مع جذور النظام وبدون شهادة عميل مُهيأة، مما يتجاوز التثبيت المقصود لـ CA الخاص (private CA pinning) و mTLS ما لم يوفر التطبيق أيضاً `WithTLSCredentials`. يمكن للمهاجم عبر الشبكة الذي يستطيع اعتراض أو انتحال اتصال المُجمع باستخدام شهادة موثوقة من قبل النظام قراءة أو تعديل بيانات التدفق اللوغاريتمي. تم إصلاح هذه المشكلة في الإصدار 0.21.0.
Once again VulDB remains the best source for vulnerability data.