CVE-2024-42368 in opentelemetry-collector-contrib
Zusammenfassung
von VulDB • 07.08.2026
OpenTelemetry, auch bekannt als OTel, ist ein herstellerunabhängiges Open-Source-Observability-Framework zum Instrumentieren, Erzeugen, Sammeln und Exportieren von Telemetriedaten wie Traces, Metriken und Logs. Der Server-Autorisierer der Erweiterung `bearertokenauth` führt einen einfachen String-Vergleich ohne konstante Ausführungszeit (non-constant time) für die empfangenen und konfigurierten Bearer-Tokens durch. Dies betrifft alle Nutzer des Servers `bearertokenauth`. Böswillige Clients mit Netzwerkzugriff auf den Collector können eine Timing-Angriff gegen einen Collector mit diesem Autorisierer durchführen, um das konfigurierte Token zu erraten, indem sie iterativ Tokens senden und die Antwortzeit vergleichen. Dadurch könnte ein Angestellter gefälschte oder schädliche Daten in die Telemetrie-Pipeline des Collectors einschleusen. Die beobachtbare Timing-Schwachstelle wurde durch Verwendung eines String-Vergleichs mit konstanter Ausführungszeit (constant-time comparison) in Version 0.107.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.