CVE-2026-81871
Təsvir
OpenTelemetry-Go, OpenTelemetry-nin Go tətbiqidir. Versiya 0.21.0-dan əvvəl, exporters/otlp/otlplog/otlploggrpc paketi loadEnvTLS vasitəsilə OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE, OTEL_EXPORTER_OTLP_CERTIFICATE və əlaqəli müştəri sertifikatı mühit dəyişənlərini cfg.tlsCfg-yə yükləyir, lakin newGRPCDialOptions gRPC transport etibarnamələrini yaradarkən cfg.tlsCfg-ni tətbiq etmir. Yalnız mühit dəyişənlərinə əsaslanan TLS yolu, tətbiq həmçinin WithTLSCredentials təmin etmədiyi halda, sistem kökləri ilə credentials.NewTLS istifadə edir və konfiqurasiya olunmuş müştəri sertifikatını nəzərə almır ki, bu da nəzərdə tutulmuş şəxsi CA pinning və qarşılıqlı TLS prosesindən yan keçməyə səbəb olur. Sistem tərəfindən etibar edilən sertifikatla kollektor bağlantısını ələ keçirmək və ya saxtalaşdırmaq imkanı olan şəbəkə hücumçusu loq telemetriyasını oxuya və ya dəyişdirə bilər. Bu problem versiya 0.21.0-da düzəldilmişdir.
Necə düzəltmək olar
- go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc0.21.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpcGo | v < 0.21.0 | 0.21.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.