OpenTelemetry .NET 在 Jaeger 导出器转换路径中存在潜在的内存耗尽问题，原因是无界池化列表大小调整

该漏洞利用攻击者通过发送大量具有高基数的遥测数据（例如，大量标签或事件）来触发。攻击者可以精心构造这些数据，以最大化内存分配，从而导致 OpenTelemetry dotnet 应用程序耗尽可用内存。这可能导致应用程序崩溃、性能下降，甚至整个系统的不可用。由于 Jaeger 导出器已弃用，攻击者可能需要找到其他方式来影响遥测数据，例如通过其他 OpenTelemetry 导出器或中间件。虽然没有直接的远程代码执行 (RCE) 风险，但拒绝服务的影响可能对关键业务系统造成严重中断。

Organizations using OpenTelemetry dotnet versions 1.0.0 through 1.6.0-rc.1 for telemetry collection and analysis, particularly those relying on the deprecated Jaeger exporter, are at risk. Systems with limited memory resources are especially vulnerable to DoS attacks.

• dotnet / memory: Use dotnet-counters to monitor memory usage of the OpenTelemetry Jaeger exporter process. Look for sustained increases in memory allocation.

dotnet-counters -m OpenTelemetry.Exporter.Jaeger

• dotnet / telemetry: Analyze telemetry data for unusually high cardinality (number of unique tags/events). Implement logging and monitoring to track the size and composition of telemetry payloads. • generic / system: Monitor system memory usage. High memory utilization by the OpenTelemetry process could indicate exploitation.

top -c

1. 2026-04-23Disclosure

   disclosure

1. 已保留2026-04-16
2. 发布日期2026-04-23
3. EPSS 更新日期2026-05-01

由于 OpenTelemetry.Exporter.Jaeger 已于 2023 年弃用，因此没有官方修复程序。建议尽快停止使用 OpenTelemetry.Exporter.Jaeger，并迁移到其他支持的导出器。如果无法立即迁移，可以考虑限制遥测数据中标签和事件的数量，以减少内存消耗。此外，监控应用程序的内存使用情况，并设置警报以检测异常情况。虽然没有直接的 WAF 规则或代理规则可以缓解此问题，但可以配置系统资源限制，以防止单个进程耗尽所有可用内存。