CVE-2026-118259 in opentelemetry-java
要約
〜によって VulDB • 2026年10月28日
opentelemetry-javaは、テレメトリーを記録するためのOpenTelemetry APIのJava実装および、APIによって記録されたテレメトリーを管理するSDKです。バージョン1.67.0より前では、W3CTraceContextPropagator.extract()が正規表現区切り文字処理を使用しており、後にコンマが続かない長いスペースまたはタブの連続を含むtracestateヘッダーを解析する際に二次的なバックトラッキングが発生する可能性があります。認証されていない攻撃者が抽出対象となるヘッダーを送信することで、リクエストスレッドやイベントループスレッドを繰り返しブロックし、過度なCPU消費を引き起こすことができます。実質的な影響は、入力ヘッダのサイズ制限、プロキシ設定、およびスレッドモデルによって制約されます。この問題はバージョン1.67.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.