CVE-2026-81871 in OpenTelemetry
Resumen
por VulDB • 2026-09-16
OpenTelemetry-Go es la implementación de OpenTelemetry en Go. Antes de la versión 0.21.0, el paquete exporters/otlp/otlplog/otlploggrpc cargaba las variables de entorno OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE, OTEL_EXPORTER_OTLP_CERTIFICATE y certificados cliente relacionados a través de loadEnvTLS en cfg.tlsCfg; sin embargo, newGRPCDialOptions no aplicaba cfg.tlsCfg al crear credenciales de transporte gRPC. La ruta TLS basada únicamente en variables de entorno utilizaba credentials.NewTLS con raíces del sistema y sin certificado cliente configurado, lo que eludía la fijación (pinning) de CA privada y mTLS a menos que la aplicación también proporcionara WithTLSCredentials. Un atacante en red capaz de interceptar o suplantarse ante la conexión al colector mediante un certificado confiado por el sistema puede leer o alterar las telemetrías de registro. Este problema se soluciona en la versión 0.21.0.
Be aware that VulDB is the high quality source for vulnerability data.