CVE-2026-33701

सारांश

# OpenTelemetry Java Instrumentation OpenTelemetry Java Instrumentation, Java के लिए OpenTelemetry ऑटो-इंस्ट्रुमेंटेशन और इंस्ट्रुमेंटेशन लाइब्रेरी प्रदान करता है। संस्करण 2.26.1 से पहले के संस्करणों में, RMI इंस्ट्रुमेंटेशन ने एक कस्टम एंडपॉइंट पंजीकृत किया था जो सीरियलाइज़ेशन फ़िल्टर लागू किए बिना आने वाले डेटा को डीसीरियलाइज़ करता था। JDK संस्करण 16 और उससे पहले के संस्करणों पर, एक हमलावर जिसके पास इंस्ट्रुमेंटेड JVM पर JMX या RMI पोर्ट तक नेटवर्क पहुंच थी, वह इसका फायदा उठाकर संभावित रूप से रिमोट कोड निष्पादन प्राप्त कर सकता था। इस भेद्यता का शोषण करने के लिए निम्नलिखित तीनों शर्तें सत्य होनी चाहिए: पहला, OpenTelemetry Java इंस्ट्रुमेंटेशन Java 16 या उससे पहले के संस्करण पर एक Java एजेंट (`-javaagent`) के रूप में संलग्न है। दूसरा, JMX/RMI पोर्ट को `-Dcom.sun.management.jmxremote.port` के माध्यम से स्पष्ट रूप से कॉन्फ़िगर किया गया है और यह नेटवर्क से पहुंच योग्य है। तीसरा, गैजेट-चेन-संगत लाइब्रेरी क्लासपाथ पर मौजूद है। इसके परिणामस्वरूप इंस्ट्रुमेंटेड JVM चलाने वाले उपयोगकर्ता के विशेषाधिकारों के साथ मनमाना रिमोट कोड निष्पादन होता है। JDK >= 17 के लिए, कोई कार्रवाई आवश्यक नहीं है, लेकिन अपग्रेड करने की दृढ़ता से अनुशंसा की जाती है। JDK < 17 के लिए, संस्करण 2.26.1 या उसके बाद के संस्करण में अपग्रेड करें। एक वर्कअराउंड के रूप में, RMI इंटीग्रेशन को अक्षम करने के लिए सिस्टम प्रॉपर्टी `-Dotel.instrumentation.rmi.enabled=false` सेट करें।

स्रोत

• CVE-2026-33701-Unsafe-Deserialization-in-OpenTelemetry-Java-Agent-RMI-Instrumentationअनुसंधान

  # CVE-2026-33701 का तकनीकी विश्लेषण OpenTelemetry Java Agent RMI इंस्ट्रुमेंटेशन में असुरक्षित डिसीरियलाइज़ेशन भेद्यता, जिसमें शोषण की स्थितियाँ, पैच विवरण और शमन रणनीतियाँ शामिल हैं।