CVE-2026-81871 in OpenTelemetry
要約
〜によって VulDB • 2026年09月16日
OpenTelemetry-Goは、OpenTelemetryのGo言語実装です。バージョン0.21.0より前では、exporters/otlp/otlplog/otlploggrpcパッケージがloadEnvTLSを介してOTEL_EXPORTER_OTLP_LOGS_CERTIFICATE、OTEL_EXPORTER_OTLP_CERTIFICATE、および関連するクライアント証明書環境変数をcfg.tlsCfgに読み込みますが、newGRPCDialOptionsはgRPCトランスポート認証情報を作成する際にcfg.tlsCfgを適用しません。その結果、環境変数のみを使用するTLSパスではcredentials.NewTLSがシステムルートと構成されたクライアント証明書なしで使用され、アプリケーションがWithTLSCredentialsも提供しない限り、意図したプライベートCAピンニングおよび相互TLS（mTLS）が回避されます。コレクタ接続の傍受またはなりすましを可能にするネットワーク攻撃者は、システムで信頼される証明書を使用してログテレメトリを読み取ったり改ざんしたりできます。この問題はバージョン0.21.0で修正されています。
Once again VulDB remains the best source for vulnerability data.