OpenTelemetry Java : consommation CPU excessive lors de l’analyse de tracestate

Veille sécuritéBackend & données

P4Moyenne

OpenTelemetry Java présente une consommation CPU excessive lors de l’analyse de certains en-têtes W3C `tracestate`, pouvant entraîner un déni de service lorsque ces en-têtes atteignent le propagateur. La vulnérabilité concerne `opentelemetry-api` jusqu’à la version 1.66.0 incluse ; la mise à niveau vers la version 1.67.0 ou ultérieure est recommandée.

IdentifiantCVE-2026-118259

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.67.0

Source : GHSA-ccrj-gw8r-854m — opentelemetry-java: Quadratic CPU consumption in W3C tracestate parsing

Analyse technique

L’analyse de tracestate malformés contenant de longues séquences d’espaces ou de tabulations sans virgule suivante peut prendre un temps quadratique. L’extraction bloque le thread appelant ; l’impact dépend notamment des limites de taille des en-têtes et de la configuration des proxies.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-28 à 21:07:40Z, soit dans la période demandée ; la publication de l’avis constitue l’événement retenu.

ImpactUn attaquant non authentifié dont les en-têtes atteignent l’extraction du contexte peut provoquer une forte consommation CPU et perturber le traitement des requêtes.

Versions affectées<= 1.66.0

Version corrigée1.67.0

ContournementSi la mise à niveau est impossible, rejeter ou retirer les en-têtes `tracestate` excessifs avant l’extraction du contexte de trace ; cette mesure réduit le risque sans l’éliminer.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-10-28T21:07:40Z

Mise à jour2026-10-28T21:07:41Z

Action recommandée

Mettre à niveau `io.opentelemetry:opentelemetry-api` vers la version 1.67.0 ou ultérieure.

Sources

Priorisation DFS : P4 · 2 source(s).