CVE-2026-41483
Açıklama
OpenTelemetry.Resources.Azure, Azure ortamları için .NET kaynak algılayıcısıdır. 1.15.0-beta.1 ve önceki sürümlerde, AzureVmMetaDataRequestor sınıfı Azure VM örnek meta veri hizmetine HTTP istekleri yapar ve yanıt gövdesini herhangi bir boyut sınırı olmaksızın belleğe okur. Yapılandırılmış uç noktayı kontrol eden veya aradaki adam (man-in-the-middle) saldırısı yoluyla buraya giden trafiği yakalayabilen bir saldırgan, keyfi büyüklükte bir yanıt gövdesi döndürebilir. Bu durum, tüketen işlemde sınırsız yığın tahsisine neden olarak yüksek geçici bellek baskısına, çöp toplama (garbage-collection) duraksamalarına veya işlemin sonlanmasına yol açan bir OutOfMemoryException hatasına sebebiyet verir. Geçici bir çözüm olarak, Azure VM kaynak algılayıcısını devre dışı bırakın veya Azure VM örnek meta veri uç noktasına yönelik aradaki adam saldırılarını önlemek için güvenlik duvarı kuralları, mTLS veya servis ağı (service mesh) gibi ağ düzeyinde kontroller kullanın. Bu sorun; yanıtları tamamen bellekte tamponlamak yerine akışla işleyen ve 4 MiB'tan büyük yanıtları görmezden gelen 1.15.1-beta.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- OpenTelemetry.Resources.Azure1.15.1-beta.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opentelemetry opentelemetry.resources.azure | v ≤ 1.15.0 | — |
| OpenTelemetry.Resources.AzureNuGet | v < 1.15.1-beta.1 | 1.15.1-beta.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.