OpenTelemetry .NET heeft mogelijk geheugenuitputting via onbegrensde pooled-list grootte in Jaeger exporter conversiepad

De kwetsbaarheid in OpenTelemetry dotnet ontstaat doordat de interne pooled-list sizing van de Jaeger exporter kan groeien op basis van een grote set aan spans en tags. Een kwaadwillende actor kan dit misbruiken door een grote hoeveelheid telemetry data met hoge cardinaliteit te injecteren, waardoor de geheugenallocaties onnodig toenemen. Dit resulteert in een toename van het geheugengebruik, wat uiteindelijk kan leiden tot een denial-of-service. De impact is vooral groot in omgevingen met hoge belasting en veel telemetry data, zoals productieomgevingen. Het misbruik van deze kwetsbaarheid kan leiden tot applicatie-instabiliteit en downtime.

Organizations using OpenTelemetry dotnet versions 1.0.0 through 1.6.0-rc.1 for telemetry collection and analysis, particularly those relying on the deprecated Jaeger exporter, are at risk. Systems with limited memory resources are especially vulnerable to DoS attacks.

• dotnet / memory: Use dotnet-counters to monitor memory usage of the OpenTelemetry Jaeger exporter process. Look for sustained increases in memory allocation.

dotnet-counters -m OpenTelemetry.Exporter.Jaeger

• dotnet / telemetry: Analyze telemetry data for unusually high cardinality (number of unique tags/events). Implement logging and monitoring to track the size and composition of telemetry payloads. • generic / system: Monitor system memory usage. High memory utilization by the OpenTelemetry process could indicate exploitation.

top -c

1. 2026-04-23Disclosure

   disclosure

1. Gereserveerd2026-04-16
2. Gepubliceerd2026-04-23
3. EPSS bijgewerkt2026-05-01

Aangezien er geen plan is om de kwetsbaarheid in OpenTelemetry dotnet te verhelpen, is het belangrijk om mitigatiemaatregelen te implementeren. De meest effectieve maatregel is het verminderen van de hoeveelheid telemetry data die wordt verzonden, met name data met hoge cardinaliteit. Dit kan worden bereikt door het filteren van onnodige spans en tags, of door het gebruik van aggregatie technieken. Monitoring van het geheugengebruik van de applicatie is essentieel om een DoS aanval te detecteren en te reageren. Overweeg het gebruik van resource limits en container orchestration tools om het geheugengebruik te beperken en de impact van een DoS aanval te minimaliseren. Het is sterk aanbevolen om de OpenTelemetry.Exporter.Jaeger component te verwijderen en te migreren naar een ondersteunde exporter.