CVE-2026-81869 in OpenTelemetry
要約
〜によって VulDB • 2026年09月16日
OpenTelemetry-Goは、OpenTelemetryのGo言語実装です。バージョン1.10.0から1.33.0の間、sdk/trace/span.goにおける属性切り捨て処理パスでは、有効なUnicode置換文字U+FFFDを含むstring型およびstring-slice型の属性に対してAttributeValueLengthLimitが適用されない場合があります。safeTruncateValidUTF8は有効な置換runeを無効なUTF-8として扱い元の入力を返す一方、strings.ToValidUTF8はその有効なruneを変更しないため、2回目のsafeTruncate処理でも過大な値が返されることがあります。スパン属性の内容を制御できる攻撃者は、設定された制限よりも長い値を保持でき、これによりスパンあたりのメモリ使用量が増加し、計装済みプロセスにおけるDoS（サービス妨害）対策が弱体化します。この問題はバージョン1.33.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.