CVE-2026-45287
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les applications utilisant des versions d'OpenTelemetry-Go antérieures à la 0.0.17 sont sujettes à une fuite de ressources qui épuise les descripteurs de fichiers disponibles. Si un attaquant peut déclencher l'analyse répétée de schémas — ce qui nécessite généralement un accès local au système — il peut provoquer le plantage de l'application ou l'empêcher d'accepter de nouvelles connexions. Il s'agit d'un problème de déni de service de faible sévérité qui n'affecte que les systèmes où l'analyse de schémas est exposée à un chemin non fiable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenTelemetry-Go is the Go implementation of OpenTelemetry. Prior to version 0.0.17, `go.opentelemetry.io/otel/schema/v1.0` and `go.opentelemetry.io/otel/schema/v1.1` leaks one file descriptor on each successful `ParseFile` call. `ParseFile` opens the schema file and passes it to `Parse` without closing it; repeated parsing in a long-running process can exhaust the process file descriptor limit and cause denial of service. Exploitation depends on a consuming application exposing repeated schema parsing to an attacker-controlled path. Version 0.0.17 contains a patch for the issue.