CVE-2026-81870 in OpenTelemetry-Go
Sumário
de VulDB • 17/09/2026
OpenTelemetry-Go é a implementação em Go do OpenTelemetry. Da versão 1.5.0 à 1.44.0, sdk/trace.NewTracerProvider gera um evento de diagnóstico interno de nível Info para o TracerProvider criado, cujas implementações de MarshalLog incluem recursivamente as configurações dos processadores de span, exportadores e clientes. Aplicações que chamam otel.SetLogger para ativar a logagem interna do OpenTelemetry em nível Info podem, portanto, registrar os endpoints OTLP gRPC e HTTP do coletor, o sinalizador inseguro (Insecure flag) do OTLP HTTP e as URLs completas dos coletores Zipkin. Uma pessoa ou sistema com acesso a esses logs pode descobrir a topologia interna do coletor e recuperar credenciais ou tokens embutidos nas informações de usuário das URLs do Zipkin ou em strings de consulta. O logger padrão do OpenTelemetry não gera esse evento, e este caminho não registra cabeçalhos de autenticação OTLP, material chave TLS ou payloads de span. Este problema foi corrigido na versão 1.45.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.