Vulnerabilidad en OpenTelemetry eBPF Instrumentation de open-telemetry (CVE-2026-45685)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

02/06/2026

Última modificación:

22/07/2026

Descripción

OpenTelemetry eBPF Instrumentation proporciona instrumentación eBPF basada en el estándar OpenTelemetry. Desde la versión 0.1.0 hasta antes de la versión 0.9.0, los mensajes de cable de MongoDB malformados pueden desencadenar panics no capturados en el analizador TCP de MongoDB, permitiendo a un atacante remoto no autenticado bloquear el agente de telemetría y causar una denegación de servicio. El analizador opera sobre cargas útiles de red sin procesar controladas por el atacante antes de que la entrada sea completamente validada, por lo que un único mensaje manipulado puede terminar la recopilación de telemetría para el proceso o nodo afectado. Este problema ha sido parcheado en la versión 0.9.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto