🇰🇷 한글 설명
OpenTelemetry.Api 패키지 1.10.0에서 1.11.1 버전 사이에서 tracestate 및 traceparent 헤더를 수신할 때 서비스 거부(DoS)가 발생할 수 있는 취약점이 발견되었습니다. 애플리케이션이 추적 컨텍스트 전파를 명시적으로 사용하지 않더라도, 해당 헤더가 포함된 HTTP 요청을 받으면 높은 CPU 사용량을 유발할 수 있습니다. 이로 인해 리소스 과다 소비, 지연 시간 증가 또는 서비스 중단이 발생할 수 있습니다.
💡 쉬운 설명
특정한 정보가 담긴 HTTP 요청을 받으면 서버의 CPU가 과도하게 작동하여 서비스가 느려지거나 멈출 수 있는 문제입니다. 웹 서비스를 통해 외부 요청을 받는 모든 애플리케이션이 영향을 받을 수 있습니다.
🇺🇸 원문 (English)
OpenTelemetry dotnet is a dotnet telemetry framework. A vulnerability in OpenTelemetry.Api package 1.10.0 to 1.11.1 could cause a Denial of Service (DoS) when a tracestate and traceparent header is received. Even if an application does not explicitly use trace context propagation, receiving these headers can still trigger high CPU usage. This issue impacts any application accessible over the web or backend services that process HTTP requests containing a tracestate header. Application may experience excessive resource consumption, leading to increased latency, degraded performance, or downtime. This vulnerability is fixed in 1.11.2.
📍 영향받는 시스템
OpenTelemetry.Api 패키지 버전 1.10.0 ~ 1.11.1
⚔️ 공격 벡터
tracestate 및 traceparent 헤더가 포함된 조작된 HTTP 요청 전송
🛡️ 대응 방법
OpenTelemetry.Api 패키지를 1.11.2 이상의 버전으로 업데이트
🔧 검증 코드
출력된 OpenTelemetry.Api의 버전이 1.11.2 미만인지 확인
dotnet list package | grep OpenTelemetry.Api