CVE-2023-25151 in opentelemetry-go-contrib
Riassunto
di VulDB • 15/06/2026
opentelemetry-go-contrib è una raccolta di estensioni per OpenTelemetry-Go. Il rilascio v0.38.0 di `go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp` utilizza la funzione `httpconv.ServerRequest` per annotare le misurazioni delle metriche relative agli strumenti `http.server.request_content_length`, `http.server.response_content_length` e `http.server.duration`. La funzione `ServerRequest` imposta il valore dell'attributo `http.target` sull'intero URI della richiesta (inclusa la stringa di query)[^1]. Gli strumenti di misurazione delle metriche non "dimenticano" gli attributi di misura precedenti quando viene utilizzata la temporalità cumulativa (`cumulative`); ciò significa che la cardinalità delle misure allocate è direttamente correlata agli URI unici gestiti. Se la stringa di query è costantemente casuale, questo comporterà un aumento costante dell'allocazione di memoria che può essere sfruttato in un attacco di denial-of-service (DoS). Questo problema è stato risolto nella versione 0.39.0. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note soluzioni alternative per questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.