CVE-2026-33701

概要

# OpenTelemetry Java Instrumentation のRMI脆弱性 OpenTelemetry Java Instrumentation は、Java向けのOpenTelemetry自動計装および計装ライブラリを提供します。バージョン2.26.1より前のバージョンでは、RMI計装がシリアライゼーションフィルタを適用せずに受信データをデシリアライズするカスタムエンドポイントを登録していました。JDKバージョン16以前では、計装されたJVM上のJMXまたはRMIポートにネットワークアクセスできる攻撃者がこれを悪用し、リモートコード実行を達成できる可能性がありました。この脆弱性を悪用するには、以下の3つの条件がすべて満たされる必要があります。第一に、OpenTelemetry Java計装がJava 16以前でJavaエージェント（`-javaagent`）としてアタッチされていること。第二に、JMX/RMIポートが`-Dcom.sun.management.jmxremote.port`で明示的に設定され、ネットワークから到達可能であること。第三に、ガジェットチェーン互換ライブラリがクラスパス上に存在すること。これにより、計装されたJVMを実行しているユーザーの権限で任意のリモートコード実行が発生します。JDK 17以上では対応は不要ですが、アップグレードを強く推奨します。JDK 17未満では、バージョン2.26.1以降にアップグレードしてください。回避策として、システムプロパティ`-Dotel.instrumentation.rmi.enabled=false`を設定してRMI統合を無効にすることができます。

• CVE-2026-33701-Unsafe-Deserialization-in-OpenTelemetry-Java-Agent-RMI-Instrumentation研究

  CVE-2026-33701の技術的分析。OpenTelemetry Java Agent RMIインストルメンテーションにおける安全でないデシリアライゼーションの脆弱性であり、悪用条件、パッチの詳細、および緩和策を含む。