CVE-2024-42368 in opentelemetry-collector-contrib
요약
\~에 의해 VulDB • 2026. 08. 07.
OpenTelemetry(OTel로 알려짐)는 추적, 메트릭 및 로그와 같은 텔레메트리 데이터를 계측하고 생성하며 수집하여 내보내기 위한 벤더 중립적인 오픈소스 관측 가능성 프레임워크입니다. bearertokenauth 확장 프로그램의 서버 인증기는 수신된 구성 bearer 토큰에 대해 단순한 비상수 시간 문자열 비교를 수행합니다. 이는 `bearertokenauth` 서버 인증기를 사용하는 모든 사용자에게 영향을 미칩니다. 컬렉터에 대한 네트워크 접근 권한이 있는 악성 클라이언트는 반복적으로 토큰을 보내고 응답 시간을 비교함으로써 이 인증기가 적용된 컬렉터를 대상으로 타이밍 공격을 수행하여 구성된 토큰을 추측할 수 있습니다. 이를 통해 공격자는 컬렉터의 텔레메트리 파이프라인에 위조되거나 잘못된 데이터를 주입할 수 있습니다. 관측 가능한 타이밍 취약점은 0.107.0 버전에서 상수 시간 비교를 사용하여 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.