JVNDB-2026-016988

opentelemetryのOpenTelemetry.Exporter.OpenTelemetryProtocolにおけるアクセスパーミションのディレクトリの一時ファイル作成に関する脆弱性

OpenTelemetry.Exporter.OpenTelemetryProtocolはOTLP（OpenTelemetryプロトコル）エクスポーターの実装です。バージョン1.8.0から1.15.2までの間、OpenTelemetry.Exporter.OpenTelemetryProtocolのOTLPディスクリトライ機能は、OTEL_DOTNET_EXPERIMENTAL_OTLP_RETRY=diskが設定されていてもOTEL_DOTNET_EXPERIMENTAL_OTLP_DISK_RETRY_DIRECTORY_PATHが構成されていない場合に、静かにPath.GetTempPath()にフォールバックしていました。エクスポーターは共有された一時ルートパスの下にある固定された信号名付きのサブディレクトリ（traces、metrics、logs）に*.blobファイルを保存および読み込みしていました。複数ユーザーが利用するシステムで一時ディレクトリが他のローカルアカウントからアクセス可能な場合、攻撃者は細工された*.blobファイルを書き込んだり、エクスポート失敗の間にアプリケーションが書き込んだ*.blobファイルを読み取ったり、多数または過大なサイズのblobファイルを配置してリトライループの性能を低下させたり、ディスクスペースを消費させたりする可能性があります。この脆弱性はバージョン1.15.3で修正されました。

opentelemetry

• OpenTelemetry.Exporter.OpenTelemetryProtocol 1.8.0 以上 1.15.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Disk retry default temp path enables local blob injection for OTLP Exporter  Advisory  open-telemetry/opentelemetry-dotnet  GitHub

1. 不適切なアクセスパーミションのディレクトリに一時ファイル作成(CWE-379) [その他]

1. CVE-2026-42191

1. National Vulnerability Database (NVD) : CVE-2026-42191
2. 関連文書 : [Exporter.OTLP] Require path when disk-retry is configured by Kielek  Pull Request #7106  open-telemetry/opentelemetry-dotnet  GitHub

• [2026年05月28日]
    掲載