OpenTelemetry Java Instrumentation предоставляет библиотеки автоматической приборов и приборов OpenTelemetry для Java. В версиях до 2.26.1 …

OpenTelemetry Java Instrumentation предоставляет библиотеки автоматической приборов и приборов OpenTelemetry для Java. В версиях до 2.26.1 приборы RMI зарегистрировали пользовательские конечные точки, которые дезериализировали входящие данные без применения фильтров сериализации. На JDK версии 16 и ранее злоумышленник с сетевым доступом к порту JMX или RMI на инструментированном JVM может использовать это для потенциального удаления кода. Все три из следующих условий должны быть верны, чтобы использовать эту уязвимость: Во-первых, приборы OpenTelemetry Java прикреплены в качестве агента Java (`-javagent``) на Java 16 или ранее. Во-вторых, порт JMX/RMI был явно настроен через `-Dcom.sun.management.jmxremote.port` и доступен для сети. В-третьих, на пути к классу присутствует совместимая с цепью гаджетов библиотека. Это приводит к произвольному удаленному исполнению кода с привилегиями пользователя, управляющем инструментальным JVM. Для JDK >= 17 никаких действий не требуется, но настоятельно рекомендуется модернизировать. Для JDK < 17, обновление до версии 2.26.1 или более поздней версии. В качестве обходного пути установите свойство системы `-Dotel.instrumentation.rmi.enabled=false` для отключения интеграции RMI.