リモートホストで実行されている OpenTelemetry Collector は、0.108.0 より前のバージョンです。したがって、以下に概説するタイミング不一致の脆弱性の影響を受けます。

OpenTelemetry Collector モジュール awsfirehosereceiver は、キーを要求するように設定されている場合でも、認証されていないリモートリクエストを許可します。

OpenTelemetry Collector は、AWS Firehose Stream を介して CloudWatch メトリクスを受信するように設定できます。Firehose は、ヘッダー X-Amz-Firehose-Access-Key に設定済みの任意の文字列を設定します。OpenTelemetry コレクターの awsfirehosereceiver は、受信リクエストでこのキーを要求するようにオプションで設定できます。ただし、これが設定されている場合でも、キーのない着信リクエストは受け入れられます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

OpenTelemetry Collector < 0.108.0 の認証バイパス

medium Nessus プラグイン ID 206657

バージョン 1.3