JVNDB-2026-015757

opentelemetryのOpenTelemetry.Exporter.OneCollectorにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

OpenTelemetry.Exporter.OneCollectorは、HTTP経由でテレメトリをOneCollectorバックエンドに送信する.NETエクスポーターです。バージョン1.15.0およびそれ以前では、構成されたバックエンドまたはコレクターへのリクエストがHTTPの4xxまたは5xxのエラー応答となった場合、HttpJsonPostTransportクラスはエラー応答をオペレーターのログに含めるために応答の本文全体をメモリに読み込みますが、消費されるバイト数に上限がありません。攻撃者が構成されたエンドポイントを制御しているか、中間者攻撃によってトラフィックを傍受することが可能な場合、任意の大きさの応答本文を返すことができます。これにより、消費プロセスでヒープの無制限割り当てが発生し、一時的なメモリ使用量の増大、ガベージコレクションの遅延、またはプロセスを終了させるOutOfMemoryExceptionが引き起こされます。回避策として、ファイアウォールルール、mTLS、サービスメッシュなどのネットワークレベルの制御を使用して、構成されたバックエンドまたはコレクターエンドポイントに対する中間者攻撃を防止してください。この問題は、エラー条件時に応答本文から読み取るバイト数を4MiBに制限したバージョン1.15.1で修正されています。

opentelemetry

• OpenTelemetry.Exporter.OneCollector 1.15.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OneCollector exporter reads unbounded HTTP response bodies  Advisory  open-telemetry/opentelemetry-dotnet-contrib  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-41484

1. National Vulnerability Database (NVD) : CVE-2026-41484
2. 関連文書 : [OneCollector] Limit response body size read by martincostello  Pull Request #4117  open-telemetry/opentelemetry-dotnet-contrib  GitHub

• [2026年05月18日]
    掲載