CVE-2026-55701 in Collector Contrib
요약
\~에 의해 VulDB • 2026. 09. 16.
OpenTelemetry Collector Contrib 저장소에는 OpenTelemetry Collector의 구성 요소가 포함되어 있습니다. 버전 0.151.0 이전에서는 githubreceiver에서 시작 시 receiver/githubreceiver/config.go의 RequiredHeaders 설정을 검증하지만, receiver/githubreceiver/trace_receiver.go의 handleReq() 함수는 들어오는 웹훅 요청에 대해 해당 헤더를 확인하지 않습니다. 따라서 인증되지 않은 발신자는 운영자의 required_headers 인증 제어 장치를 우회하여 임의의 웹훅 페이로드를 제출할 수 있습니다. Secret 필드가 비어 있는 경우 github.ValidatePayload도 HMAC 검증을 건너뛰므로, 웹훅 엔드포인트는 구성된 두 가지 인증 메커니즘 모두에서 보호되지 않게 됩니다. 성공적인 공격 시 관측 가능성 파이프라인에 위조된 CI/CD 추적 데이터가 주입될 수 있습니다. 이 문제는 버전 0.151.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.