Vulnerabilidad en OpenTelemetry dotnet (CVE-2024-32028)

OpenTelemetry dotnet es un framework de telemetría dotnet. En las versiones afectadas de `OpenTelemetry.Instrumentation.Http` y `OpenTelemetry.Instrumentation.AspNetCore`, `url.full` escribe atributos/etiquetas en intervalos (`Activity`) cuando el rastreo está habilitado para solicitudes http salientes y `OpenTelemetry.Instrumentation. AspNetCore` escribe el atributo/etiqueta `url.query` en intervalos (`Actividad`) cuando el seguimiento está habilitado para solicitudes http entrantes. Estos atributos están definidos por las convenciones semánticas para intervalos HTTP. Hasta la versión `1.8.1`, los valores escritos por `OpenTelemetry.Instrumentation.Http` y `OpenTelemetry.Instrumentation.AspNetCore` pasarán a través de la cadena de consulta sin formato tal como se envió o recibió (respectivamente). Esto puede dar lugar a que se filtre información confidencial (por ejemplo, EUII: información identificable del usuario final, credenciales, etc.) a los servidores de telemetría (dependiendo de las aplicaciones que se instrumenten), lo que podría causar incidentes de privacidad y/o seguridad. Nota: Las versiones anteriores de `OpenTelemetry.Instrumentation.Http` y `OpenTelemetry.Instrumentation.AspNetCore` pueden usar nombres de etiquetas diferentes pero tienen la misma vulnerabilidad. Las versiones `1.8.1` de `OpenTelemetry.Instrumentation.Http` y `OpenTelemetry.Instrumentation.AspNetCore` ahora redactarán de forma predeterminada todos los valores detectados en las cadenas de consulta transmitidas o recibidas. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.