🇰🇷 한글 설명
OpenTelemetry Collector Contrib의 githubreceiver 구성 요소에서 인증 우회 취약점이 발견되었습니다. 0.151.0 미만 버전에서는 설정된 필수 헤더를 실제 요청 처리 시 검증하지 않아, 인증되지 않은 공격자가 임의의 웹훅 페이로드를 전송할 수 있습니다. 특히 Secret 필드가 비어 있을 경우 HMAC 검증까지 건너뛰게 되어 CI/CD 추적 데이터에 조작된 데이터를 주입할 수 있습니다.
💡 쉬운 설명
GitHub에서 보내는 신호를 확인하는 과정에서 보안 검사를 제대로 하지 않는 허점이 발견되었습니다. 이를 통해 해커가 가짜 데이터를 시스템에 몰래 집어넣어 관찰 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
The OpenTelemetry Collector Contrib repository contains components for the OpenTelemetry Collector. Prior to 0.151.0, the githubreceiver validates the receiver/githubreceiver/config.go RequiredHeaders configuration at startup, but receiver/githubreceiver/trace_receiver.go handleReq() does not check those headers on incoming webhook requests. An unauthenticated sender can therefore bypass an operator's required_headers authentication control and submit arbitrary webhook payloads. When the Secret field is empty, github.ValidatePayload also skips HMAC validation, leaving the webhook endpoint without either configured authentication mechanism. Successful exploitation can inject fabricated CI/CD trace data into the observability pipeline. This issue is fixed in version 0.151.0.
📍 영향받는 시스템
OpenTelemetry Collector Contrib 0.151.0 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 필수 헤더 검증을 우회하여 조작된 GitHub 웹훅 페이로드를 전송
🛡️ 대응 방법
OpenTelemetry Collector Contrib를 0.151.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 이미지의 태그(버전)가 0.151.0 미만인지 확인
docker images | grep opentelemetry-collector-contrib