Vulnérabilité dans go.opentelemetry.io/otel/sdk (CVE-2026-81869)
Résumé
Vulnérabilité dans go.opentelemetry.io/otel/sdk (CVE-2026-81869). Risque d'opérations non autorisées ou de divulgation. Exploitable via AttributeValueLengthLimit. Atténuation : mise à jour vers 1.33.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The OpenTelemetry Go SDK trace package can fail to enforce AttributeValueLengthLimit for string attributes containing the valid Unicode replacement character U+FFFD. An oversized attacker-controlled attribute value that includes U+FFFD is returned untruncated, bypassing the configured memory/DoS protection and allowing increased per-span memory usage. The finding is low severity because it requires a deployment with attribute value length limits enabled and attacker-controlled data being recorded into span attributes.
Introduced in commit 49a6536
Details
String and string-slice span attributes are truncated through safeTruncate when AttributeValueLengthLimit is non-negative. The finding evidence identifies this enforcement path in sdk/trace/span.go:303-331, with string attributes passed to safeTruncate at sdk/trace/span.go:309-310 and string-slice entries passed to safeTruncate in the loop beginning at sdk/trace/span.go:312.
safeTruncate first calls safeTruncateValidUTF8; if that returns ok=false, it calls strings.ToValidUTF8(input, "") and retries. The relevant code is identified in sdk/trace/span.go:337-355. safeTruncateValidUTF8 treats any utf8.RuneError from utf8.DecodeRuneInString as invalid UTF-8 and immediately returns the original input with ok=false. However, Go also returns utf8.RuneError for a valid encoded U+FFFD rune. The validation artifact confirms this behavior with output `r=U+FFFD size=3 runeError=true…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-81869 a été découverte dans go.opentelemetry.io/otel/sdk.
Des attaquants peuvent cibler un point d'entrée spécifique comme AttributeValueLengthLimit à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour go.opentelemetry.io/otel/sdk vers 1.33.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « go.opentelemetry.io/otel/sdk CVE-2026-81869 » sur le site de l'éditeur.
CVE-2026-81869 (go.opentelemetry.io/otel/sdk) — CWE-176
Surface d'attaque : AttributeValueLengthLimit / safeTruncate / safeTruncateValidUTF8 / utf8.RuneError
Correctif : 1.33.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-176) affecte go.opentelemetry.io/otel/sdk. Les attaquants atteignent le code vulnérable via AttributeValueLengthLimit.
Consultez l'avis de l'éditeur pour les versions affectées de go.opentelemetry.io/otel/sdk. Surface d'attaque : AttributeValueLengthLimit / safeTruncate / safeTruncateValidUTF8 / utf8.RuneError.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.33.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'go.opentelemetry.io/otel/sdk' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
go.opentelemetry.io/otel/sdkを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade go.opentelemetry.io/otel/sdk to 1.33.0ステージング環境で 1.33.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com