CVE-2026-81871 in OpenTelemetry
Sumário
de VulDB • 17/09/2026
O OpenTelemetry-Go é a implementação em Go do OpenTelemetry. Antes da versão 0.21.0, o pacote exporters/otlp/otlplog/otlploggrpc carrega as variáveis de ambiente OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE, OTEL_EXPORTER_OTLP_CERTIFICATE e certificados de cliente relacionados através de loadEnvTLS para cfg.tlsCfg; no entanto, newGRPCDialOptions não aplica cfg.tlsCfg ao criar credenciais de transporte gRPC. O caminho TLS baseado apenas em variáveis de ambiente utiliza credentials.NewTLS com raízes do sistema e sem certificado de cliente configurado, contornando o pinning de CA privada e a autentuação mútua (mTLS) pretendidas, salvo se a aplicação também fornecer WithTLSCredentials. Um atacante na rede capaz de interceptar ou falsificar a conexão com o coletor usando um certificado confiável pelo sistema pode ler ou alterar os dados de telemetria de logs. Este problema foi corrigido na versão 0.21.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.