CVE-2026-81869 in OpenTelemetry
Zusammenfassung
von VulDB • 16.09.2026
OpenTelemetry-Go ist die Go-Implementierung von OpenTelemetry. Von der Version 1.10.0 bis zur Version 1.33.0 kann der Pfad zur Attribut-Beschneidung in sdk/trace/span.go das AttributeValueLengthLimit für String- und String-Slice-Attribute, die das gültige Unicode-Ersetzungszeichen U+FFFD enthalten, nicht durchsetzen. safeTruncateValidUTF8 behandelt den gültigen Ersatz-Rune als ungültiges UTF-8 und gibt die ursprüngliche Eingabe zurück, während strings.ToValidUTF8 diesen gültigen Rune unverändert lässt, sodass ein zweiter Versuch von safeTruncate ebenfalls den überlangen Wert zurückgeben kann. Ein Angreifer, der den Inhalt des Span-Attributs kontrollieren kann, kann Werte länger als das konfigurierte Limit beibehalten, was die Speichernutzung pro Span erhöht und den Schutz vor Denial-of-Service-Angriffen im instrumentierten Prozess schwächt. Dieses Problem wurde in Version 1.33.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.