🇰🇷 한글 설명
OpenTelemetry Python SDK의 1.45.0 이전 버전에서 JaegerPropagator.extract()가 uberctx-* 베이거지 값에 대해 항목 수, 항목별 바이트, 전체 바이트 제한을 적용하지 않습니다. 선택적으로 Jaeger 전파기를 사용하는 서비스는 공격자가 많거나 큰 값을 보낼 경우 불필요한 CPU 및 힙 할당이 발생하여 서비스 거부(DoS)에 취약해질 수 있습니다.
💡 쉬운 설명
OpenTelemetry라는 모니터링 도구의 Jaeger 연동 부분이 외부에서 들어오는 데이터 크기를 제한하지 않습니다. 악의적인 요청이 아주 크거나 많은 데이터를 보내면 서버가 과부하되어 응답을 멈출 수 있습니다.
🇺🇸 원문 (English)
OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.0, JaegerPropagator.extract() in opentelemetry-propagator-jaeger processes inbound uberctx-* baggage values without entry, per-entry byte, or total-byte limits. Services that enable the optional Jaeger propagator can perform unnecessary CPU work and short-lived heap allocations when an untrusted carrier supplies numerous or oversized values, contributing to denial of service when transport-level limits do not constrain the input. Common default Python HTTP server limits reduce the practical impact, while custom getters, non-HTTP transports, or raised header limits increase exposure. This issue is fixed in version 1.45.0.
📍 영향받는 시스템
opentelemetry-propagator-jaeger 1.45.0 미만을 사용하며 Jaeger 전파기를 활성화한 Python 서비스
⚔️ 공격 벡터
공격자가 uberctx-* 헤더나 전달 매체에 수많은 또는 과대한 값을 포함한 요청을 보내 CPU와 메모리를 소진시킴
🛡️ 대응 방법
opentelemetry-propagator-jaeger 패키지를 1.45.0 이상으로 업그레이드하고 불필요하면 Jaeger 전파기를 비활성화
🔧 검증 코드
출력된 버전이 1.45.0 미만이면 취약하므로 업그레이드가 필요하고, 1.45.0 이상이거나 패키지가 설치되지 않았다면 해당 취약점에 노출되지 않습니다.
pip show opentelemetry-propagator-jaeger 2>/dev/null | grep -i '^version'