CVE-2026-128085 (Medium) detected in go.opentelemetry.io/otel/trace-v1.43.0

Aberta Para iniciantes
  • Algo errado?
#404 0 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
2/5
Tempo estimado
1-3 horas
Facilidade para iniciantes
65/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Ativa
Stack de tecnologia
go
Domínio
backend, security

Direção de pesquisa

O módulo afetado é go.opentelemetry.io/otel/trace v1.43.0, listado no arquivo de dependências /engine/go.mod e incluído indiretamente por meio de github.com/docker/docker. Comece verificando qual entrada do go.mod fixa essa versão e depois execute go get go.opentelemetry.io/otel/[email protected], seguido de go mod tidy em /engine. Está concluído quando go.mod e go.sum mostram v1.47.0, go build ./... e o go test ./... existente passam, e não sobra nenhum outro módulo otel com versões incompatíveis.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Mend: dependency security vulnerability

CVE-2026-128085 - Medium Severity Vulnerability

Vulnerable Library - go.opentelemetry.io/otel/trace-v1.43.0

OpenTelemetry Go API and SDK

Library home page: https://proxy.golang.org/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.zip

Sample Path to Dependency File: /engine/go.mod

Path to vulnerable library: /home/wss-scanner/go/pkg/mod/cache/download/go.opentelemetry.io/otel/trace/@⁠v/v1.43.0.mod

Dependency Hierarchy:

  • github.com/docker/docker-v28.5.2 (Root Library)
    • ❌ go.opentelemetry.io/otel/trace-v1.43.0 (Vulnerable Library)

Found in base branch: master

Vulnerability Details

OpenTelemetry-Go is the Go implementation of OpenTelemetry. From SDK version 1.33.0, SDK log version 0.9.0, and trace version 1.35.0 until version 1.47.0, the AttributeValueLengthLimit and WithAttributeValueLengthLimit truncation paths in sdk/internal/attrnorm, sdk/log/internal/attrnorm, and trace/auto.go do not count valid U+FFFD replacement characters. This is a distinct incomplete-fix defect in the replacement truncation code introduced by the remediation for CVE-2026-81869. Values composed of or dominated by those characters can therefore exceed the configured character and memory bound in span, log-record, and auto-instrumentation trace attributes. Attacker-controlled telemetry attributes can increase retained memory and pipeline pressure, while confidentiality and integrity are not affected. This issue is fixed in version 1.47.0.

Publish Date: 2026-11-13

URL: CVE-2026-128085

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: None
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/advisories/GHSA-q7gw-24fr-5p69

Release Date: 2026-11-13

Fix Resolution: go.opentelemetry.io/otel/trace - v1.47.0

Step up your Open Source Security Game with Mend here

Linguagem predominante
Go
Estrelas
2.8k
Forks
90
Nenhum PR com merge em 30d

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de postgres-ai/database-lab-engine

Todas as issues de postgres-ai/database-lab-engine

Issues semelhantes

Mais issues de Go

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.