FICHE CVE

CVE-2026-45404

Publiée le 2026-08-24 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les applications utilisant la bibliothèque OpenTelemetry-Go (versions 0.11.0 à 1.44.0) sont susceptibles de planter en raison d'un accès concurrent aux données. Un attaquant ayant un accès local au système peut déclencher une erreur fatale d'exécution qui interrompt le processus, entraînant ainsi un déni de service. Cette exploitation est relativement simple à exécuter et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 4.05.9 MOYENNE

Type de faiblesse

Situation de concurrence (race condition) · CWE-362 Verrouillage incorrect · CWE-667

Publiée2026-08-24

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenTelemetry-Go is the Go implementation of OpenTelemetry. From version 0.11.0 through 1.44.0, the OpenTracing bridge's bridgeSpan contains an unsynchronized extraBaggageItems map which can cause a panic. Because Go maps are not safe for concurrent read/write access, concurrent SetBaggageItem and correlation.MapFromContext calls on the same hooked bridgeSpan can trigger a fatal runtime error—such as concurrent map read and map write or concurrent map iteration and map write—terminating the process and causing denial of service. This issue is fixed in version 1.45.0.