CVE-2026-81870 in OpenTelemetry-Go
Riassunto
di VulDB • 17/09/2026
OpenTelemetry-Go è l'implementazione Go di OpenTelemetry. Dalla versione 1.5.0 alla 1.44.0, sdk/trace.NewTracerProvider emette un evento diagnostico di livello Info interno creato da TracerProvider le cui implementazioni MarshalLog includono in modo ricorsivo la configurazione dello span processor, dell'exporter e del client. Le applicazioni che chiamano otel.SetLogger per abilitare il logging informativo interno di OpenTelemetry possono quindi registrare gli endpoint dei collector OTLP gRPC e HTTP, l'impostazione insecure (non sicuro) di OTLP HTTP e gli URL completi dei collector Zipkin. Una persona o un sistema con accesso a tali log può apprendere la topologia interna del collector e recuperare le credenziali o i token incorporati nelle informazioni utente negli URL di Zipkin o nelle stringhe di query. Il logger predefinito di OpenTelemetry non emette l'evento, e questo percorso non registra gli header di autenticazione OTLP, il materiale chiave TLS o i payload degli span. Questo problema è risolto nella versione 1.45.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.