- Yama var
- Son 7 gün
- CWE-770
CVE-2026-116694
OpenTelemetry Python Jaeger propagator: sınırsız bellek ayırma (DoS)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, izleme (telemetri) altyapısında kullanılan bir kütüphanede hizmet kesintisine yol açabilir. Etkisi çoğu standart kurulumda sınırlıdır, ancak özel yapılandırmalarda risk artar. Etkilenen sistemlerin güncellenmesi orta öncelikli olarak planlanmalıdır.
ÖzetTürkçe
OpenTelemetry Python'un opentelemetry-propagator-jaeger paketindeki JaegerPropagator.extract fonksiyonu, gelen uberctx-* baggage değerlerini girdi sayısı, girdi başına bayt veya toplam bayt sınırı olmadan işler. İsteğe bağlı Jaeger propagator'ünü etkinleştiren servisler, sınırlandırılmamış ve güvenilmeyen girdilerle karşılaşabilir. Sürüm 1.45.0 öncesi etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, çok sayıda veya çok büyük değer göndererek gereksiz CPU kullanımına ve kısa ömürlü bellek ayırmalarına neden olabilir; bu da hizmet reddi (DoS) ile sonuçlanabilir. Varsayılan Python HTTP sunucu sınırları etkiyi azaltır, ancak özel getter'lar, HTTP dışı taşıyıcılar veya yükseltilmiş başlık sınırları riski artırır.
Kaynaktaki açıklama (İngilizce)
OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.0, JaegerPropagator.extract() in opentelemetry-propagator-jaeger processes inbound uberctx-* baggage values without entry, per-entry byte, or total-byte limits. Services that enable the optional Jaeger propagator can perform unnecessary CPU work and short-lived heap allocations when an untrusted carrier supplies numerous or oversized values, contributing to denial of service when transport-level limits do not constrain the input. Common default Python HTTP server limits reduce the practical impact, while custom getters, non-HTTP transports, or raised header limits increase exposure. This issue is fixed in version 1.45.0.
Ne yapmalı?
- opentelemetry-python paketini 1.45.0 veya daha yeni bir sürüme yükseltin. Üretici
- Jaeger propagator'ünün gerekli olup olmadığını değerlendirin; kullanılmıyorsa devre dışı bırakın. Genel öneri
- Güvenilmeyen kaynaklardan gelen isteklerde başlık ve gövde boyutu sınırlarını gözden geçirin, mümkünse sıkılaştırın. Genel öneri
Ek önlemler
- Özel propagator veya getter kullanan servisleri öncelikli olarak güncelleyin. Genel öneri
- Ani CPU veya bellek artışlarını izleyerek olağan dışı trafiği tespit edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| open-telemetry opentelemetry-python | < 1.45.0 | 1.45.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.