Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OpenTelemetry-Go は OpenTelemetry の Go 実装です。バージョン 0.21.0 より前では、exporters/otlp/otlplog/otlploggrpc パッケージは、OTEL_EXPORTER_OTLP_LOGS_CERTIFICATE、OTEL_EXPORTER_OTLP_CERTIFICATE、関連するクライアント証明書の環境変数を loadEnvTLS を通じて cfg.tlsCfg にロードしますが、newGRPCDialOptions は gRPC トランスポート認証情報の作成時に cfg.tlsCfg を適用しません。環境専用 TLS パスは、代わりに認証情報を使用します。システムルートでクライアント証明書が構成されていないNewTLS。アプリケーションがWithTLSCredentialsも提供しない限り、意図されたプライベートCAピンニングと相互TLSをバイパスします。システムが信頼する証明書を持つコレクター接続を傍受または偽装できるネットワーク攻撃者が、ログテレメトリを読み取ったり変更したりする可能性があります。この問題はバージョン 0.21.0 で修正されています。
    (CVE-2026-81871)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-81871

medium Nessus プラグイン ID 348121

バージョン 1.5