中危 由于未绑定基数指标而导致 otelgrpc（不受控制的资源消耗）中的 DoS 漏洞 (CVE-2023-47108)
CVE编号
CVE-2023-47108利用情况
暂无补丁情况
官方补丁披露时间
2023-11-11漏洞描述
OpenTelemetry-Go Contrib是用于OpenTelemetry-Go的第三方包集合。在版本0.46.0之前，grpc一元服务器拦截器默认添加了未绑定基数的标签`net.peer.sock.addr`和`net.peer.sock.port`，当发送大量恶意请求时可能导致服务器内存耗尽。攻击者可以轻易淹没请求的对等地址和端口。版本0.46.0修复了此问题。作为解决方法，可以使用删除属性的视图来停止受影响。另一种可能性是通过传递`otelgrpc.WithMeterProvider`选项和`noop.NewMeterProvider`来禁用grpc度量仪器。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | opentelemetry | opentelemetry | * | Up to (excluding) 0.46.0 | |||||
- 攻击路径 本地
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 越权影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论