🇰🇷 한글 설명
OpenTelemetry Java Instrumentation 2.27.0 이전 버전에서 RMI 컨텍스트 전파 페이로드 리더가 컨텍스트 항목 수는 제한하지만 스트림에서 읽는 문자열의 총 크기는 제한하지 않습니다. 이로 인해 공격자가 계측된 JVM의 RMI 엔드포인트로 과도한 크기의 페이로드를 보내면 메모리가 과도하게 할당되어 서비스 거부(DoS)가 발생할 수 있습니다. RMI 계측이 활성화되고 RMI 엔드포인트가 네트워크에서 접근 가능한 경우에만 영향을 받으며, 2.27.0 버전에서 수정되었습니다.
💡 쉬운 설명
OpenTelemetry라는 모니터링 도구를 쓰는 자바 프로그램이 특정 통신 기능(RMI)을 열어두면, 공격자가 아주 큰 데이터를 보내 프로그램의 메모리를 가득 채워 멈추게 할 수 있습니다. 해당 기능을 쓰지 않거나 2.27.0 이상으로 업데이트하면 안전합니다.
🇺🇸 원문 (English)
OpenTelemetry Java Instrumentation provides OpenTelemetry auto-instrumentation and instrumentation libraries for Java. In versions prior to 2.27.0, the RMI context propagation payload reader limits the number of context entries but does not limit the aggregate size of the strings read from the stream. An attacker who can reach an RMI endpoint on an instrumented JVM can send an oversized context propagation payload. This can cause excessive memory allocation while the JVM reads the payload, potentially leading to denial of service. The issue affects only deployments where RMI instrumentation is enabled and an RMI endpoint is network-reachable. This issue has been fixed in version 2.27.0.
📍 영향받는 시스템
OpenTelemetry Java Instrumentation 2.27.0 미만 버전 중 RMI 계측이 활성화되고 RMI 엔드포인트가 네트워크에 노출된 환경
⚔️ 공격 벡터
네트워크로 접근 가능한 RMI 엔드포인트에 과도하게 큰 컨텍스트 전파 페이로드를 전송하여 JVM의 메모리 과다 할당을 유발
🛡️ 대응 방법
OpenTelemetry Java Instrumentation을 2.27.0 이상으로 업그레이드하고, 불필요한 경우 RMI 계측을 비활성화하며, RMI 엔드포인트를 신뢰된 네트워크로 제한
🔧 검증 코드
출력된 jar 파일명 또는 MANIFEST의 버전이 2.27.0 미만이면 취약하며, 2.27.0 이상이면 패치된 것입니다. 아무 파일도 나오지 않으면 해당 에이전트가 설치되지 않은 것입니다.
find / -name 'opentelemetry-javaagent*.jar' 2>/dev/null | xargs -I{} sh -c 'echo {}; unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i version'