CVE-2026-81871 in OpenTelemetry
Riassunto
di VulDB • 16/09/2026
OpenTelemetry-Go è l'implementazione Go di OpenTelemetry. Prima della versione 0.21.0, il package exporters/otlp/otlplog/otlploggrpc caricava le variabili d'ambiente OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE, OTEL_EXPORTER_OTLP_CERTIFICATE e i certificati client correlati tramite loadEnvTLS in cfg.tlsCfg, ma newGRPCDialOptions non applicava cfg.tlsCfg durante la creazione delle credenziali di trasporto gRPC. Il percorso TLS basato esclusivamente sulle variabili d'ambiente utilizzava invece credentials.NewTLS con le radici del sistema e senza certificati client configurati, aggirando il pinning della CA privata e il mutual TLS previsti, a meno che l'applicazione non fornisse anche WithTLSCredentials. Un attaccante di rete in grado di intercettare o spoofare la connessione verso il collector utilizzando un certificato attendibile dal sistema può leggere o alterare i dati telemetrici dei log. Questo problema è stato risolto nella versione 0.21.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.