OpenTelemetry .NET présente un risque d'épuisement de la mémoire via un dimensionnement non borné de la liste partagée dans le chemin de conversion de l'exportateur Jaeger

L'exploitation réussie de cette vulnérabilité peut entraîner un déni de service, empêchant les applications de fonctionner correctement. Un attaquant pourrait influencer les données télémétriques envoyées à OpenTelemetry dotnet, en particulier en manipulant la cardinalité des balises et des événements. Cette manipulation pourrait provoquer une croissance excessive de la mémoire allouée, épuisant les ressources système et entraînant un plantage ou une lenteur significative de l'application. L'impact est potentiellement élevé pour les environnements de production où la disponibilité est critique. Bien qu'aucune exploitation active n'ait été signalée, la nature de la vulnérabilité et l'absence de correctif la rendent préoccupante.

Organizations using OpenTelemetry dotnet versions 1.0.0 through 1.6.0-rc.1 for telemetry collection and analysis, particularly those relying on the deprecated Jaeger exporter, are at risk. Systems with limited memory resources are especially vulnerable to DoS attacks.

• dotnet / memory: Use dotnet-counters to monitor memory usage of the OpenTelemetry Jaeger exporter process. Look for sustained increases in memory allocation.

dotnet-counters -m OpenTelemetry.Exporter.Jaeger

• dotnet / telemetry: Analyze telemetry data for unusually high cardinality (number of unique tags/events). Implement logging and monitoring to track the size and composition of telemetry payloads. • generic / system: Monitor system memory usage. High memory utilization by the OpenTelemetry process could indicate exploitation.

top -c

1. 2026-04-23Disclosure

   disclosure

1. Réservé2026-04-16
2. Publiée2026-04-23
3. EPSS mis à jour2026-05-01

Étant donné qu'aucune correction n'est prévue pour cette vulnérabilité, la mitigation se concentre sur la réduction de l'exposition et l'atténuation de l'impact potentiel. La première étape consiste à désactiver ou supprimer l'exporter Jaeger si possible, car il est obsolète. Si cela n'est pas possible, limitez la quantité de données télémétriques envoyées à OpenTelemetry dotnet, en particulier les données à haute cardinalité. Examinez attentivement les balises et les événements collectés et supprimez ceux qui ne sont pas essentiels. Surveillez attentivement l'utilisation de la mémoire par le processus OpenTelemetry dotnet et configurez des alertes en cas de consommation excessive. L'utilisation d'un pare-feu d'application web (WAF) peut également aider à bloquer les requêtes malveillantes conçues pour exploiter cette vulnérabilité.