CVE-2026-114603 Análisis sin límite de tracestate en opentelemetry-api de OpenTelemetry Python

Qué es CVE-2026-114603

Antes de 1.45.1, la función TraceState.from_header en opentelemetry/trace/span.py, alcanzada mediante TraceContextTextMapPropagator.extract, analiza encabezados tracestate de W3C entrantes con una expresión regular de espacios opcionales sin límite. Un encabezado malformado con una larga secuencia de espacios o tabulaciones sin una coma posterior provoca retroceso cuadrático antes de aplicar el límite de miembros. Los servicios que usan el propagador predeterminado W3C Trace Context pueden consumir tiempo de CPU…

Productos y versiones afectadas

• open-telemetry opentelemetry-python

  • < 1.45.1

Qué hacer

1. Verificá si usás opentelemetry-python y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.1, the opentelemetry-api function TraceState.from_header in opentelemetry/trace/span.py, reached through TraceContextTextMapPropagator.extract, parses inbound W3C tracestate headers with an unbounded optional-whitespace regular expression. A malformed header containing a long run of spaces or tabs without a following comma causes quadratic backtracking before the member-count limit is applied. Services using the default W3C Trace Context propagator can therefore spend excessive CPU time on one unauthenticated request when the HTTP server, parser, gateway, or custom carrier accepts a sufficiently large header. The processing can occupy a synchronous worker or delay unrelated requests on the same asynchronous event loop. The impact is limited to availability and does not expose or modify telemetry data or allow code execution. This issue is fixed in version 1.45.1.

Referencias

• github.com/open-telemetry/opentelemetry-python/security/advisories/GHSA-xcq7-p3pf-p88hX_REFSOURCE_CONFIRM
• github.com/open-telemetry/opentelemetry-python/pull/5749X_REFSOURCE_MISC
• github.com/open-telemetry/opentelemetry-python/commit/d5224bf4ffdf2aee1b592ad238dcc32ca95…X_REFSOURCE_MISC
• github.com/open-telemetry/opentelemetry-python/blob/main/CHANGELOG.md#version-1451066b1-2…X_REFSOURCE_MISC
• github.com/open-telemetry/opentelemetry-python/releases/tag/v1.45.1X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 15:02VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.