CVE-2023-45142 in Prometheus
Résumé
par VulDB • 01/06/2026
OpenTelemetry-Go Contrib est une collection de packages tiers pour OpenTelemetry-Go. Un wrapper de gestionnaire (handler) intégré ajoute par défaut les étiquettes `http.user_agent` et `http.method` qui ont une cardinalité non bornée. Cela peut entraîner une épuisement de la mémoire du serveur lorsque de nombreuses requêtes malveillantes lui sont envoyées. L'en-tête HTTP User-Agent ou la méthode HTTP des requêtes peut être facilement défini par un attaquant comme étant aléatoire et long. La bibliothèque utilise en interne `httpconv.ServerRequest` qui enregistre chaque valeur pour la méthode HTTP `method` et `User-Agent`. Pour être vulnérable, un programme doit utiliser le wrapper `otelhttp.NewHandler` et ne filtrer aucune méthode HTTP inconnue ou aucun User-Agent au niveau du CDN, du Load Balancer (LB), d'un middleware précédent, etc. La version 0.44.0 a corrigé ce problème lorsque les valeurs collectées pour l'attribut `http.request.method` ont été restreintes à un ensemble de valeurs bien connues et que d'autres attributs à haute cardinalité ont été supprimés. En tant que solution de contournement pour cesser d'être affecté, `otelhttp.WithFilter()` peut être utilisé, mais cela nécessite une configuration manuelle minutieuse pour ne pas journaliser certaines requêtes entièrement. Pour une commodité et une utilisation sûre de cette bibliothèque, elle devrait par défaut marquer avec l'étiquette `unknown` les méthodes HTTP et User-Agents non standard afin de montrer que de telles requêtes ont été effectuées sans augmenter la cardinalité. Dans le cas où quelqu'un souhaite conserver le comportement actuel, l'API de la bibliothèque devrait permettre de l'activer.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.