OpenTelemetry .NET tem potencial de esgotamento de memória via dimensionamento ilimitado de lista agrupada no caminho de conversão do exportador Jaeger

Um atacante pode explorar essa vulnerabilidade enviando um grande volume de dados de telemetria com alta cardinalidade (muitos valores únicos) ou dados influenciados para o exporter Jaeger. Isso pode levar ao crescimento descontrolado da lista interna de pool do exporter, consumindo recursos excessivos de memória no sistema. O resultado é uma pressão significativa na memória, podendo levar à lentidão do sistema, travamentos ou até mesmo a uma negação de serviço, impedindo que aplicações legítimas acessem os recursos necessários. A ausência de planos para correção aumenta o risco, pois a vulnerabilidade permanece exposta a exploração.

Organizations using OpenTelemetry dotnet versions 1.0.0 through 1.6.0-rc.1 for telemetry collection and analysis, particularly those relying on the deprecated Jaeger exporter, are at risk. Systems with limited memory resources are especially vulnerable to DoS attacks.

• dotnet / memory: Use dotnet-counters to monitor memory usage of the OpenTelemetry Jaeger exporter process. Look for sustained increases in memory allocation.

dotnet-counters -m OpenTelemetry.Exporter.Jaeger

• dotnet / telemetry: Analyze telemetry data for unusually high cardinality (number of unique tags/events). Implement logging and monitoring to track the size and composition of telemetry payloads. • generic / system: Monitor system memory usage. High memory utilization by the OpenTelemetry process could indicate exploitation.

top -c

1. 2026-04-23Disclosure

   disclosure

1. Reservado2026-04-16
2. Publicada2026-04-23
3. EPSS atualizado2026-05-01

Devido à ausência de planos para correção, a mitigação principal envolve a substituição do exporter Jaeger por uma alternativa mais segura e atualizada. Recomenda-se a utilização de outros exporters suportados pelo OpenTelemetry que não apresentem essa vulnerabilidade. Em ambientes onde a substituição imediata não é possível, considere limitar a quantidade de dados de telemetria enviados ao exporter Jaeger, especialmente aqueles provenientes de fontes não confiáveis. Monitore de perto o consumo de memória do sistema para detectar sinais de pressão excessiva e tomar medidas corretivas proativas.