OpenTelemetry opentelemetry-exporter-otlp-proto-http: Unzureichende Zertifikatsprüfung

Zusammenfassung

Das Python-Paket opentelemetry-exporter-otlp-proto-http deaktiviert die TLS-Zertifikatsprüfung, wenn die Variablen OTEL_EXPORTER_OTLP_CERTIFICATE auf leere Zeichenketten gesetzt sind. Ein Angreifer in einer Man-in-the-Middle-Position im Netzwerkpfad kann sich als Collector ausgeben und exportierte Traces, Metriken und Logs lesen oder verändern, einschliesslich der in OTEL_EXPORTER_OTLP_HEADERS konfigurierten Authentifizierungs-Header. Eine Authentifizierung ist nicht nötig, der Angreifer benötigt jedoch eine geeignete Position im Netzwerkpfad.

Betroffen

• opentelemetry-exporter-otlp-proto-http 1.5.0 bis vor 1.45.0 (Grenze gegen den Fix-Commit noch zu verifizieren)
• Nur wenn OTEL_EXPORTER_OTLP_CERTIFICATE (oder die Traces-Variante) als leere Zeichenkette gesetzt ist
• Distributionspakete: Das NixOS-Tracking-Issue nennt 1.43.0 und 1.34.0 (release-25.11); Ubuntu 26.04 LTS und 26.10 werden noch geprüft

Behoben in

• Auf die neueste Version 1.45.x aktualisieren (1.45.0 wird im CVE genannt; 1.45.1 existiert, sein Fix-Inhalt ist jedoch nicht verifiziert)
• Fix-Commit: 89cc68b9ea7e15969b4f042d63397bdc74a3d60e
• Herstellerhinweis: Unbekannt.

Umgehung

• Konfigurationen, Container und CI-Pipelines auf OTEL_EXPORTER_OTLP_*CERTIFICATE-Variablen mit leeren Werten prüfen
• Diese Variablen entfernen oder auf eine gültige CA-Zertifikatsdatei setzen
• Der Hersteller dokumentiert keine Workaround-Lösung.

Ausnutzung

• Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
• Nicht im CISA-KEV-Katalog gelistet (soweit geprüft).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Python-Dienste inventarisieren, die den OTLP-HTTP-Exporter verwenden.
• Auf leere OTEL_EXPORTER_OTLP_*CERTIFICATE-Variablen prüfen und diese entfernen oder eine gültige CA-Datei setzen.
• Auf die neueste Version 1.45.x aktualisieren und die fixe Version verifizieren.
• Dienste priorisieren, die Telemetriedaten über unsichere Netze oder das Internet senden.
• Mittlere Priorität.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-112006 VulnCheck advisory www.vulncheck.com
• Fix commit 89cc68b9 github.com
• OpenTelemetry Python v1.45.0 release github.com
• Vulnerable code in v1.44.0 (exporter init) github.com
• Ubuntu security notice CVE-2026-112006 ubuntu.com
• OpenTelemetry environment variables reference opentelemetry-python.readthedocs.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:36.