CVE-2024-32028

OpenTelemetry dotnet bir dotnet telemetriya freymvorkudur. `OpenTelemetry.Instrumentation.Http` və `OpenTelemetry.Instrumentation.AspNetCore`-nun təsirlənmiş versiyalarında, çıxan http sorğuları üçün izləmə aktiv olduqda `OpenTelemetry.Instrumentation.Http` span-lara (`Activity`) `url.full` atributunu/teqini yazır, daxil olan http sorğuları üçün izləmə aktiv olduqda isə `OpenTelemetry.Instrumentation.AspNetCore` span-lara (`Activity`) `url.query` atributunu/teqini yazır. Bu atributlar HTTP Span-ları üçün Semantik Konvensiyalar tərəfindən müəyyən edilmişdir. Versiya `1.8.1`-ə qədər `OpenTelemetry.Instrumentation.Http` və `OpenTelemetry.Instrumentation.AspNetCore` tərəfindən yazılan dəyərlər göndərilən və ya qəbul edilən xam sorğu sətirini olduğu kimi ötürürdü. Bu, həssas məlumatların (məsələn, EUII - Son İstifadəçinin Müəyyən Edilə Bilən Məlumatları, etibarnamələr və s.), instrumentasiya olunan tətbiqlərdən asılı olaraq, telemetriya backend-lərinə sızmasına səbəb ola bilər ki, bu da məxfilik və/və ya təhlükəsizlik insidentlərinə yol aça bilər. Qeyd: `OpenTelemetry.Instrumentation.Http` və `OpenTelemetry.Instrumentation.AspNetCore`-nun daha köhnə versiyaları fərqli teq adlarından istifadə edə bilər, lakin eyni zəifliyə malikdir. `OpenTelemetry.Instrumentation.Http` və `OpenTelemetry.Instrumentation.AspNetCore`-nun `1.8.1` versiyaları artıq ötürülən və ya qəbul edilən sorğu sətirlərində aşkar edilən bütün dəyərləri standart olaraq gizlədir (redact). İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolları yoxdur.