Platform
java
Component
io.opentelemetry.javaagent:opentelemetry-javaagent
Opgelost in
2.26.2
2.26.1
CVE-2026-33701 beschrijft een Remote Code Execution (RCE) kwetsbaarheid in de OpenTelemetry Java Agent. Een aanvaller met netwerktoegang kan code uitvoeren via een RMI endpoint. De impact is de potentiele uitvoering van willekeurige code. OpenTelemetry Java Agent versies ≤2.9.0 zijn kwetsbaar. De issue is opgelost in versie 2.26.1.
CVE-2026-33701 in de OpenTelemetry Java instrumentation beïnvloedt versies vóór 2.26.1. Specifiek registreert de RMI-instrumentatie een aangepast eindpunt dat inkomende gegevens deserialiseert zonder serialisatiefilters toe te passen. Dit stelt een aanvaller met netwerktoegang tot een JMX- of RMI-poort op een geïnstrumenteerde JVM in staat om potentieel remote code uit te voeren. De ernst van deze kwetsbaarheid wordt beoordeeld als 9.5 op de CVSS-schaal, wat een kritiek risico aangeeft. Een succesvolle exploitatie vereist dat de OpenTelemetry Java-instrumentatie is gekoppeld als een Java-agent (-javaagent) en dat een RMI-eindpunt via het netwerk bereikbaar is.
Een aanvaller zou deze kwetsbaarheid kunnen exploiteren door kwaadaardige geserialiseerde gegevens te verzenden via een blootgelegd RMI-eindpunt. Als de kwetsbare OpenTelemetry Java-instrumentatie in gebruik is, kan het aangepaste eindpunt deze gegevens deserialiseren zonder de juiste validatie, wat kan leiden tot de uitvoering van willekeurige code. Het succes van de exploitatie hangt af van de netwerkconfiguratie en het vermogen van de aanvaller om toegang te krijgen tot de RMI-poort. OpenTelemetry Java-instrumentatie wordt veel gebruikt voor telemetrie en tracing, waardoor systemen die erop vertrouwen potentieel kwetsbaar zijn.
Exploit Status
EPSS
0.40% (61% percentiel)
CISA SSVC
De belangrijkste mitigatie voor CVE-2026-33701 is het upgraden van de OpenTelemetry Java-instrumentatie naar versie 2.26.1 of hoger. Deze versie bevat een fix die serialisatiefilters implementeert om onveilige deserialisatie te voorkomen. Beperk bovendien de toegang tot JMX- en RMI-poorten tot geautoriseerde bronnen. Overweeg het implementeren van netwerkbeveiligingsbeleid die de blootstelling van deze poorten aan het externe netwerk beperken. Het monitoren van applicatielogs op verdachte activiteiten met betrekking tot deserialisatie kan ook helpen bij het detecteren en reageren op potentiële aanvallen.
Update de OpenTelemetry Java Instrumentation bibliotheek naar versie 2.26.1 of later. Als alternatief kunt u de RMI integratie uitschakelen door de systeem property `-Dotel.instrumentation.rmi.enabled=false` in te stellen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Deserialisatie is het proces van het converteren van geserialiseerde gegevens (zoals een object) in een bruikbaar formaat voor een applicatie. Als deserialisatie niet veilig wordt uitgevoerd, kan dit aanvallers in staat stellen willekeurige code uit te voeren.
Controleer de versie van de OpenTelemetry Java-instrumentatie die u gebruikt. Als deze vóór 2.26.1 ligt, bent u mogelijk getroffen. Controleer ook of u een RMI-eindpunt heeft dat via het netwerk toegankelijk is.
JMX (Java Management Extensions) is een specificatie voor het beheren en monitoren van Java-applicaties. Het wordt vaak via een netwerkpoort blootgesteld.
Er zijn tools voor het scannen van kwetsbaarheden die de kwetsbare OpenTelemetry Java-instrumentatie kunnen detecteren. Een handmatige code- en configuratiecontrole kan ook helpen bij het identificeren van potentiële problemen.
Isoleer het getroffen systeem, verzamel forensisch bewijs en informeer uw beveiligingsteam. Upgrade de OpenTelemetry Java-instrumentatie zo snel mogelijk naar de nieuwste versie.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je pom.xml-bestand en we vertellen je direct of je getroffen bent.