CVE-2026-115716
ŚrednieCVSS 6.5Streszczenie
APM Server ma podatność CWE-770 (alokacja zasobów bez limitów) umożliwiającą atak typu denial of service poprzez nadmiernie duże serializowane ładunki danych. Atakujący mogący wysyłać dane OpenTelemetry (OTLP) przez HTTP może spowodować wyczerpanie pamięci i zakończenie działania serwera.
Ocena ryzyka
Atakujący może zatrzymać przyjmowanie danych APM i OpenTelemetry do momentu restartu serwera, powodując utratę widoczności monitoringu. Może to zakłócić wykrywanie incydentów i ciągłość obserwowalności.
Rekomendacja
Zaktualizuj APM Server do wersji zawierającej poprawkę. Rozważ ograniczenie rozmiaru przesyłanych ładunków OTLP oraz kontrolę dostępu do endpointu HTTP.
Inne podatności w APM Server
Zobacz wszystkie- CVE-2026-115289Średnie
Użycie wielu zasobów z zduplikowanym identyfikatorem (CWE-694) w APM Server może prowadzić do ujawnienia informacji poprzez specjalnie spreparowane żądanie konfiguracji agenta. Uwierzytelniony agent APM może otrzymać centralną konfigurację agenta należącą do innej usługi, dopóki pamięć podręczna konfiguracji nie wygaśnie. Usługa może również działać z ustawieniami centralnej konfiguracji, takimi jak ustawienia próbkowania, przeznaczonymi dla innej usługi.
- CVE-2026-78594Średnie
Nieprawidłowe obsługiwanie wysoko skompresowanych danych w APM Server może prowadzić do trwałej odmowy usługi. Uwierzytelniony użytkownik z prawem zapisu do treści source map może przechowywać specjalnie spreparowaną, wysoko skompresowaną treść, która podczas późniejszego przetwarzania wyczerpuje pamięć APM Server, powodując zakończenie procesu. Stan powtarza się po każdym restarcie, dopóki treść nie zostanie usunięta.
Oryginalny opis (angielski, źródło NVD)
Allocation of Resources Without Limits or Throttling (CWE-770) in APM Server can lead to denial of service via Oversized Serialized Data Payloads (CAPEC-231). An attacker who can send OpenTelemetry (OTLP) data to APM Server over HTTP can cause APM Server to exhaust its memory and terminate. This stops the intake of APM and OpenTelemetry data until APM Server restarts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS