🇰🇷 한글 설명
OpenTelemetry eBPF Instrumentation 0.9.0 미만 버전에서 Redis 에러 텍스트를 가공 없이 스팬 상태 메시지로 내보내는 취약점이 발견되었습니다. Redis 에러 응답에 포함된 공격자가 제어 가능한 값이나 민감한 정보가 텔레메트리 백엔드로 유출되거나 하위 분석 시스템에 주입될 수 있습니다.
💡 쉬운 설명
프로그램의 상태를 기록하는 과정에서 Redis라는 데이터베이스의 에러 메시지를 그대로 저장하는 문제가 있습니다. 이 과정에서 비밀번호나 개인정보 같은 중요한 데이터가 기록 시스템으로 흘러 들어갈 위험이 있습니다.
🇺🇸 원문 (English)
OpenTelemetry eBPF Instrumentation provides eBPF instrumentation based on the OpenTelemetry standard. Prior to version 0.9.0, OBI exports raw Redis error text as the span status message. Because Redis error replies can contain attacker-controlled or sensitive values, this behavior can exfiltrate tokens, PII, or other confidential input into telemetry backends and inject untrusted text into downstream analysis systems. This issue has been patched in version 0.9.0.
📍 영향받는 시스템
OpenTelemetry eBPF Instrumentation version < 0.9.0
⚔️ 공격 벡터
Redis 에러 응답에 민감한 정보를 포함시켜 텔레메트리 백엔드로 데이터를 유출하거나 악성 텍스트를 주입함
🛡️ 대응 방법
OpenTelemetry eBPF Instrumentation을 0.9.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.9.0 미만이면 취약한 상태이며, 0.9.0 이상이면 안전합니다.
pip show opentelemetry-ebpf-instrumentation 2>/dev/null | grep Version