CVE-2026-81871
Açıklama
OpenTelemetry-Go, OpenTelemetry'nin Go uygulamasıdır. Versiyon 0.21.0 öncesinde, exporters/otlp/otlplog/otlploggrpc paketi; OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE, OTEL_EXPORTER_OTLP_CERTIFICATE ve ilgili istemci sertifikası ortam değişkenlerini loadEnvTLS aracılığıyla cfg.tlsCfg içine yükler, ancak newGRPCDialOptions gRPC taşıma kimlik bilgilerini oluştururken cfg.tlsCfg'yi uygulamaz. Sadece ortam değişkenlerine dayalı TLS yolu, bunun yerine sistem kökleri ile credentials.NewTLS kullanır ve yapılandırılmış bir istemci sertifikası içermez; bu durum, uygulama ayrıca WithTLSCredentials sağlamadığı sürece hedeflenen özel CA sabitlemeyi ve karşılıklı TLS'yi devre dışı bırakır. Sistem tarafından güvenilen bir sertifika ile kolektör bağlantısınıle kesebilen veya taklit edebilen bir ağ saldırganı, günlük telemetrisini okuyabilir veya değiştirebilir. Bu sorun versiyon 0.21.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc0.21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpcGo | v < 0.21.0 | 0.21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.