JVNDB-2026-030791

opentelemetryにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

opentelemetry-jsはOpenTelemetryのJavaScriptクライアントです。2.8.0より前のバージョンでは、@opentelemetry/core内のW3CBaggagePropagator.extract()が、受信したbaggage HTTPヘッダーの解析時にサイズ制限を強制していませんでした。W3C Baggage仕様では最大8,192バイトおよび180エントリが推奨されていますが、これらの制限は送信時（inject()）には適用されていましたが、受信時（extract()）には適用されていませんでした。過剰サイズのbaggageを解析すると、ヘッダーサイズに比例したメモリ割り当てが制限なく発生してしまいます。この脆弱性は2.8.0で修正されています。

opentelemetry

• opentelemetry 2.8.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded memory allocation in W3C Baggage propagation  Advisory  open-telemetry/opentelemetry-js  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-54285

1. National Vulnerability Database (NVD) : CVE-2026-54285

• [2026年08月28日]
    掲載