OpenTelemetry .NETにおいて、Jaegerエクスポーター変換パスにおける無制限のプールリストサイズ設定により、メモリ枯渇の可能性がある

この脆弱性は、攻撃者が高カーディナリティのタグやイベントデータをOpenTelemetryに送信することで悪用される可能性があります。これにより、Jaegerエクスポーターの内部プールリストのサイズが異常に大きくなり、メモリ消費量が増大します。メモリ消費量が増大し続けると、システムリソースが枯渇し、サービスが停止する可能性があります。攻撃者は、この脆弱性を利用して、標的システムの可用性を低下させ、サービス拒否状態を引き起こすことが可能です。特に、高負荷な環境や、外部からのテレメトリーデータを受け入れるシステムにおいて、この脆弱性の影響は大きくなる可能性があります。

Organizations using OpenTelemetry dotnet versions 1.0.0 through 1.6.0-rc.1 for telemetry collection and analysis, particularly those relying on the deprecated Jaeger exporter, are at risk. Systems with limited memory resources are especially vulnerable to DoS attacks.

• dotnet / memory: Use dotnet-counters to monitor memory usage of the OpenTelemetry Jaeger exporter process. Look for sustained increases in memory allocation.

dotnet-counters -m OpenTelemetry.Exporter.Jaeger

• dotnet / telemetry: Analyze telemetry data for unusually high cardinality (number of unique tags/events). Implement logging and monitoring to track the size and composition of telemetry payloads. • generic / system: Monitor system memory usage. High memory utilization by the OpenTelemetry process could indicate exploitation.

top -c

1. 2026-04-23Disclosure

   disclosure

1. 予約済み2026-04-16
2. 公開日2026-04-23
3. EPSS 更新日2026-05-01

この脆弱性に対する公式な修正は提供されていません。OpenTelemetryプロジェクトは、OpenTelemetry.Exporter.Jaegerを2023年に非推奨としています。そのため、最も推奨される緩和策は、Jaegerエクスポーターの使用を完全に避けることです。代替のエクスポーター（例えば、OpenTelemetry Protocol (OTLP) エクスポーター）を使用することを検討してください。また、テレメトリーデータのカーディナリティを制限することで、メモリ消費量を抑制できる可能性があります。アプリケーションレベルで、不要なタグやイベントの送信を抑制するなどの対策を講じることが重要です。