OpenTelemetry Python : Allocation de mémoire non bornée dans la propagation des bagages Jaeger

Résumé

JaegerPropagator.extract() dans opentelemetry-propagator-jaeger n'imposait pas de limites lors de l'extraction des en-têtes de bagages entrants uberctx-*. Des bagages contrôlés par un attaquant pourraient causer un travail CPU inutile et des allocations de mémoire temporaires tout en traitant plus de données que le propagateur ne devrait accepter.

Impact

Les services qui activent le propagateur Jaeger optionnel et acceptent des en-têtes de propagation entrants non fiables pourraient rencontrer une augmentation de l'utilisation des ressources par requête. Cela peut contribuer à un risque de déni de service lorsque les limites au niveau du transport sont absentes ou configurées au-dessus des limites de bagages.

L'impact pratique pour la plupart des déploiements web Python est limité. Le paquet doit être installé séparément, et le propagateur Jaeger n'est pas activé par la configuration par défaut d'OpenTelemetry Python.

Les serveurs web Python courants limitent également les en-têtes de requête avant qu'ils n'atteignent le propagateur :

• Gunicorn permet un maximum de 100 champs d'en-tête de requête et 8 190 octets par champ par défaut.
• L'implémentation h11 d'Uvicorn limite son tampon d'événements incomplets à 16 384 octets par défaut.

Le risque est plus élevé pour les transports non HTTP, les implé personnalisées de TextMapGetter, ou les déploiements où les limites du serveur et de la passerelle ont été augmentées ou désactivées.

L'impact est limité à la disponibilité. Cette question n'expose pas ou ne modifie pas les données de télémétrie et ne permet pas d'exécution de code.

Correctifs

Les versions de opentelemetry-propagator-jaeger antérieures à 1.45.0 sont affectées.

Mettez à jour opentelemetry-propagator-jaeger vers la version 1.45.0 ou ultérieure.

La version 1.45.0 limite l'extraction à 180 entrées et 8 192 octets au total et saute les entrées plus grandes que 4 096 octets.

Crédit

tonghuaroot