CVE-2026-33701

ملخص

# OpenTelemetry Java Instrumentation توفر OpenTelemetry Java Instrumentation أدوات القياس التلقائي ومكتبات القياس للغة Java. في الإصدارات السابقة للإصدار 2.26.1، سجّلت أداة قياس RMI نقطة نهاية مخصصة تقوم بإلغاء تسلسل البيانات الواردة دون تطبيق عوامل تصفية التسلسل. على إصدار JDK 16 والإصدارات الأقدم، يمكن لمهاجم لديه وصول شبكي إلى منفذ JMX أو RMI على جهاز Java مُجهّز بالقياس استغلال ذلك لتحقيق تنفيذ تعسفي للكود عن بُعد. يجب أن تتوفر جميع الشروط الثلاثة التالية لاستغلال هذه الثغرة: أولاً، يتم إرفاق أداة قياس OpenTelemetry Java كعامل Java (`-javaagent`) على Java 16 أو إصدار أقدم. ثانيًا، تم تكوين منفذ JMX/RMI بشكل صريح عبر `-Dcom.sun.management.jmxremote.port` ويكون قابلاً للوصول عبر الشبكة. ثالثًا، توجد مكتبة متوافقة مع سلسلة الأدوات (gadget-chain) على مسار الفئات (classpath). يؤدي هذا إلى تنفيذ تعسفي للكود عن بُعد بصلاحيات المستخدم الذي يشغّل جهاز Java المُجهّز بالقياس. بالنسبة لـ JDK >= 17، لا يلزم اتخاذ أي إجراء، ولكن يُنصح بشدة بالترقية. بالنسبة لـ JDK < 17، قم بالترقية إلى الإصدار 2.26.1 أو إصدار أحدث. كحل بديل، قم بتعيين خاصية النظام `-Dotel.instrumentation.rmi.enabled=false` لتعطيل تكامل RMI.

• CVE-2026-33701-Unsafe-Deserialization-in-OpenTelemetry-Java-Agent-RMI-Instrumentationالبحث

  التحليل الفني لثغرة CVE-2026-33701، وهي ثغرة إلغاء تسلسل غير آمن في أداة تتبع OpenTelemetry Java Agent الخاصة بـ RMI، بما في ذلك شروط الاستغلال وتفاصيل التصحيح واستراتيجيات التخفيف.