CVE-2024-45043

OpenTelemetry Collector modulunun AWS firehose receiver komponenti, AWS Kinesis Data Firehose çatdırılma axını mesajlarının qəbulu və konfiqurasiya edilmiş qeyd növünə əsasən alınan qeydlərin təhlili üçün nəzərdə tutulub. `awsfirehosereceiver`, açar tələb etmək üçün konfiqurasiya edildiyi halda belə, autentifikasiya olunmamış uzaq sorğulara icazə verir. OpenTelemetry Collector, AWS Firehose Stream vasitəsilə CloudWatch metrikalarını qəbul etmək üçün konfiqurasiya edilə bilər. Firehose, `X-Amz-Firehose-Access-Key` başlığını ixtiyari konfiqurasiya edilmiş sətirlə təyin edir. OpenTelemetry Collector awsfirehosereceiver, gələn sorğularda bu açarın tələb olunmasını isteğe bağlı olaraq konfiqurasiya edə bilir. Lakin, bu konfiqurasiya edildikdə belə, o, hələ də açarsız gələn sorğuları qəbul edir. Yalnız “alpha” `awsfirehosereceiver` modulu ilə konfiqurasiya edilmiş OpenTelemetry Collector istifadəçiləri bundan təsirlənir. Bu modul “Contrib” distribyusiyasının v0.49.0 versiyasında əlavə edilmişdir (və ya xüsusi quruluşlara daxil edilmiş ola bilər). Səlahiyyətsiz istifadəçilərin metriklər yazması riski mövcuddur. Düzgün hazırlanmış metriklər digər zərərli fəaliyyətləri gizlədə bilər. Məlumatların sızdırılması riski yoxdur. Firehose şəxsi HTTP son nöqtələrini (endpoints) dəstəkləmədiyi üçün bu son nöqtələrin ictimai internetə açıq olması ehtimalı yüksəkdir. Həll yolu PR #34847-də təqdim edilmiş və v0.108.0 versiyası ilə buraxılmışdır. Bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.