OpenTelemetry.Instrumentation http 和 AspNetCore 中默认记录敏感查询参数 (CVE-2024-32028)
CVE编号
CVE-2024-32028利用情况
暂无补丁情况
N/A披露时间
2024-04-13漏洞描述
OpenTelemetry dotnet是一个dotnet遥测框架。在受影响的`OpenTelemetry.Instrumentation.Http`和`OpenTelemetry.Instrumentation.AspNetCore`版本中，当启用对外部http请求的跟踪时，`url.full`会在跨度（`Activity`）上写入属性/标记，而`OpenTelemetry.Instrumentation.AspNetCore`在启用对内部http请求的跟踪时，会在跨度（`Activity`）上写入`url.query`属性/标记。这些属性由HTTP Span的语义约定定义。直到版本`1.8.1`，由`OpenTelemetry.Instrumentation.Http`和`OpenTelemetry.Instrumentation.AspNetCore`写入的值将传递原始查询字符串，就像发送或接收的那样。这可能导致敏感信息（例如EUII-最终用户可识别信息、凭据等）泄漏到遥测后端（取决于被检测的应用程序），从而可能引发隐私和/或安全事件。注意：旧版本的`OpenTelemetry.Instrumentation.Http`和`OpenTelemetry.Instrumentation.AspNetCore`可能使用不同的标记名称，但存在相同的漏洞。`OpenTelemetry.Instrumentation.Http`和`OpenTelemetry.Instrumentation.AspNetCore`的`1.8.1`版本现在默认会对传输或接收到的查询字符串上检测到的所有值进行数据遮蔽。建议用户升级。针对此漏洞没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 相邻
- 攻击复杂度 低
- 权限要求 低
- 影响范围 已更改
- 用户交互 无
- 可用性 无
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论