CVE-2023-25151
Təsvir
opentelemetry-go-contrib, OpenTelemetry-Go üçün genişləndirmələr toplusudur. `go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp`-nin v0.38.0 versiyasında `http.server.request_content_length`, `http.server.response_content_length` və `http.server.duration` instrumentləri üçün metrik ölçümləri qeyd etmək məqsədilə `httpconv.ServerRequest` funksiyasından istifadə olunur. `ServerRequest` funksiyası `http.target` atributunun dəyərini bütün sorğu URI-si (sorğu sətiri daxil olmaqla) kimi təyin edir[^1]. `cumulative` müvəqqitliyi istifadə edildikdə, metrik instrumentləri əvvəlki ölçüm atributlarını "unutmur", bu isə o deməkdir ki, ayrılmış ölçümlərin kardinallığı birbaşa emal edilən unikal URI-lər ilə korrelyasiya təşkil edir. Əgər sorğu sətiri daim təsadüfi olsa, bu, yaddaş ayrılmasının davamlı artımına səbəb olacaq və xidmətdən imtina (DoS) hücumunda istifadə edilə bilər. Bu problem 0.39.0 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu problem üçün məlum olan alternativ həll yolu yoxdur.
Necə düzəltmək olar
- go.opentelemetry.io/contrib/instrumentation/net/http/otelhttp0.39.0 və ya daha yeni versiya
- go.opentelemetry.io/contrib/instrumentation/github.com/astaxie/beego/otelbeego0.39.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation opentelemetry-go_contrib | 0.38.0 | — |
| go.opentelemetry.io/contrib/instrumentation/net/http/otelhttpGo | 0.38.0 ≤ v < 0.39.0 | 0.39.0 |
| go.opentelemetry.io/contrib/instrumentation/github.com/astaxie/beego/otelbeegoGo | 0.38.0 ≤ v < 0.39.0 | 0.39.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.