CVE-2026-42191
Açıklama
OpenTelemetry.Exporter.OpenTelemetryProtocol, OTLP (OpenTelemetry Protocol) dışa aktarıcı uygulamasıdır. 1.8.0 ile 1.15.2 sürümleri arasında, OpenTelemetry.Exporter.OpenTelemetryProtocol içindeki OTLP disk yeniden deneme özelliği; OTEL_DOTNET_EXPERIMENTAL_OTLP_RETRY=disk ayarlı olduğunda ancak OTEL_DOTNET_EXPERIMENTAL_OTLP_DISK_RETRY_DIRECTORY_PATH yapılandırılmadığında sessizce Path.GetTempPath() yöntemine geri dönüyordu. Dışa aktarıcı, *.blob dosyalarını bu paylaşılan geçici kök dizin altındaki sabit ve sinyal adlandırmalı alt dizinlerde (traces, metrics, logs) saklıyor ve yüklüyordu. Geçici dizinin diğer yerel hesaplar tarafından erişilebilir olduğu çok kullanıcılı sistemlerde bu durum; bir saldırganın özel olarak hazırlanmış *.blob dosyaları yazmasına, dışa aktarma hataları arasında uygulama tarafından yazılan *.blob dosyalarını okumasına veya çok sayıda ya da aşırı boyutlu blob dosyaları yerleştirerek yeniden deneme döngüsü performansını düşürmesine veya disk alanını tüketmesine olanak tanır. Bu güvenlik açığı 1.15.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- opentelemetry opentelemetry.exporter.opentelemetryprotocol1.15.3 ya da sonraki bir sürüm
- OpenTelemetry.Exporter.OpenTelemetryProtocol1.15.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opentelemetry opentelemetry.exporter.opentelemetryprotocol | 1.8.0 ≤ v < 1.15.3 | 1.15.3 |
| OpenTelemetry.Exporter.OpenTelemetryProtocolNuGet | 1.8.0 ≤ v < 1.15.3 | 1.15.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.