🇰🇷 한글 설명
OpenTelemetry Python의 TraceState.from_header 함수에서 W3C tracestate 헤더를 처리할 때 정규 표현식의 무한 루프 가능성으로 인해 CPU 자원을 과도하게 사용하는 취약점이 발견되었습니다. 악의적으로 조작된 긴 공백이 포함된 헤더를 전송할 경우 서비스 가용성이 저하될 수 있습니다. 이 문제는 버전 1.45.1에서 수정되었습니다.
💡 쉬운 설명
특수하게 조작된 긴 공백이 포함된 데이터를 보내면 서버의 CPU를 과도하게 사용하여 서비스를 느리게 만들거나 멈추게 할 수 있습니다. 이는 시스템을 마비시키는 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
🇺🇸 원문 (English)
OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.1, the opentelemetry-api function TraceState.from_header in opentelemetry/trace/span.py, reached through TraceContextTextMapPropagator.extract, parses inbound W3C tracestate headers with an unbounded optional-whitespace regular expression. A malformed header containing a long run of spaces or tabs without a following comma causes quadratic backtracking before the member-count limit is applied. Services using the default W3C Trace Context propagator can therefore spend excessive CPU time on one unauthenticated request when the HTTP server, parser, gateway, or custom carrier accepts a sufficiently large header. The processing can occupy a synchronous worker or delay unrelated requests on the same asynchronous event loop. The impact is limited to availability and does not expose or modify telemetry data or allow code execution. This issue is fixed in version 1.45.1.
📍 영향받는 시스템
OpenTelemetry Python (opentelemetry-api) 1.45.1 미만 버전
⚔️ 공격 벡터
조작된 W3C tracestate 헤더를 포함한 HTTP 요청을 전송하여 서버의 CPU 자원을 고갈시킴
🛡️ 대응 방법
OpenTelemetry Python 라이브러리를 1.45.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.45.1보다 낮은지 확인하십시오.
pip show opentelemetry-api | grep Version