CVE-2023-25151 in opentelemetry-go-contrib
Résumé
par VulDB • 30/05/2026
opentelemetry-go-contrib est une collection d'extensions pour OpenTelemetry-Go. La version 0.38.0 de `go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp` utilise la fonction `httpconv.ServerRequest` pour annoter les mesures de métriques pour les instruments `http.server.request_content_length`, `http.server.response_content_length` et `http.server.duration`. La fonction `ServerRequest` définit la valeur de l'attribut `http.target` comme étant l'URI de requête complet (y compris la chaîne de requête)[^1]. Les instruments de métriques n'« oublient » pas les attributs de mesure précédents lorsque la temporalité `cumulative` est utilisée ; cela signifie que la cardinalité des mesures allouées est directement corrélée aux URIs uniques traités. Si la chaîne de requête est constamment aléatoire, cela entraînera une augmentation constante de l'allocation de mémoire qui peut être exploitée dans le cadre d'une attaque par déni de service (DoS). Ce problème a été résolu dans la version 0.39.0. Il est conseillé aux utilisateurs de mettre à niveau. Il n'existe pas de contournements connus pour ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.