JVNDB-2026-020264

opentelemetryのTelemetry Schema Filesにおける複数の脆弱性

OpenTelemetry-GoはOpenTelemetryのGoによる実装です。バージョン0.0.17より前のバージョンでは、`go.opentelemetry.io/otel/schema/v1.0`および`go.opentelemetry.io/otel/schema/v1.1`が、`ParseFile`の呼び出しごとに1つのファイルディスクリプタをリークしていました。`ParseFile`はスキーマファイルを開き、それを閉じることなく`Parse`に渡していました。長時間稼働するプロセスで繰り返し解析が行われると、プロセスのファイルディスクリプタ制限が枯渇し、サービス拒否（DoS）を引き起こす可能性があります。悪用は、攻撃者が制御するパスに対して繰り返しスキーマの解析を実行する消費アプリケーションに依存します。バージョン0.0.17にはこの問題に対する修正が含まれています。

opentelemetry

• Telemetry Schema Files 0.0.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Schema ParseFile leaks file descriptors on each parse  Advisory  open-telemetry/opentelemetry-go  GitHub

1. 有効なライフタイム後のリソースの解放の欠如(CWE-772) [その他]
2. 有効期限後のファイル記述子またはハンドルの解放の欠如(CWE-775) [その他]

1. CVE-2026-45287

1. National Vulnerability Database (NVD) : CVE-2026-45287
2. 関連文書 : Merge commit from fork  open-telemetry/opentelemetry-go@f12d198  GitHub
3. 関連文書 : Add ability to parse Schema files according to OTEP 0152 (#2267)  open-telemetry/opentelemetry-go@e72a235  GitHub

• [2026年06月22日]
    掲載