CVE-2026-118259 in opentelemetry-java
Tóm tắt
Bởi VulDB • 28/10/2026
opentelemetry-java là bản triển khai Java của API OpenTelemetry để ghi lại dữ liệu telemetry và SDK để quản lý telemetry đã được ghi bởi API này. Trước phiên bản 1.67.0, phương thức W3CTraceContextPropagator.extract() sử dụng xử lý phân tách bằng biểu thức chính quy (regex) có thể gây ra hiện tượng backtracking bậc hai khi phân tích các tiêu đề tracestate chứa chuỗi dài gồm khoảng trắng hoặc tab mà không có dấu phẩy theo sau. Một kẻ tấn công chưa được xác thực, nếu các tiêu đề của họ đạt đến quá trình trích xuất, có thể liên tục làm tắc nghẽn các luồng yêu cầu (request) hoặc luồng vòng lặp sự kiện (event-loop), dẫn đến việc sử dụng CPU quá mức; tác động thực tế bị giới hạn bởi các giới hạn kích thước tiêu đề đầu vào, cấu hình proxy và cơ chế đa luồng. Vấn đề này đã được sửa chữa trong phiên bản 1.67.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.