Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-05114

Опубликовано: 31 мая 2024
Источник: fstec
CVSS3: 8.2
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость модулей confighttp и configgrpc программного обеспечения обработки данных телеметрии OpenTelemetry Collector вызвана исчерпанием памяти в результате выхода операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированных HTTP и gRPC-запросов

Вендор

OpenTelemetry

Наименование ПО

configgrpc
confighttp
opentelemetry collector

Версия ПО

до 0.102.1 (configgrpc)
до 0.102.0 (confighttp)
до 0.102.1 (opentelemetry collector)

Тип ПО

Микропрограммный код

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://opentelemetry.io/blog/2024/cve-2024-36129/
https://github.com/open-telemetry/opentelemetry-collector/security/advisories/GHSA-c74f-6mfw-mm4v
https://github.com/open-telemetry/opentelemetry-collector/releases/tag/v0.102.1
https://github.com/open-telemetry/opentelemetry-collector/pull/10289
https://github.com/open-telemetry/opentelemetry-collector/pull/10323

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 85%
0.02397
Низкий

8.2 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.2
redhat
больше 1 года назад

The OpenTelemetry Collector offers a vendor-agnostic implementation on how to receive, process and export telemetry data. An unsafe decompression vulnerability allows unauthenticated attackers to crash the collector via excessive memory consumption. OTel Collector version 0.102.1 fixes this issue. It is also fixed in the confighttp module version 0.102.0 and configgrpc module version 0.102.1.

CVSS3: 8.2
nvd
больше 1 года назад

The OpenTelemetry Collector offers a vendor-agnostic implementation on how to receive, process and export telemetry data. An unsafe decompression vulnerability allows unauthenticated attackers to crash the collector via excessive memory consumption. OTel Collector version 0.102.1 fixes this issue. It is also fixed in the confighttp module version 0.102.0 and configgrpc module version 0.102.1.

CVSS3: 8.2
github
больше 1 года назад

Denial of Service via Zip/Decompression Bomb sent over HTTP or gRPC

EPSS

Процентиль: 85%
0.02397
Низкий

8.2 High

CVSS3

8.5 High

CVSS2