OpenTelemetry eBPF Instrumentation: Java TLS ioctl kprobe allows kernel memory disclosure — GHSA-FJQ3-FFVR-VM46

GitHub · GitHub · GHSA-FJQ3-FFVR-VM46

ID
GHSA-FJQ3-FFVR-VM46

Datum
2026-05-18

Quelle
GitHub

Vendor
GitHub

Risiko
niedrig

CVSS
3.8

EPSS
0

Zusammenfassung

### Summary The Java TLS ioctl probe reads user-controlled ioctl pointers with `bpf_probe_read` instead of `bpf_probe_read_user`. An instrumented local process can therefore point OBI at kernel memory and cause that memory to be copied into telemetry. ### Details The vulnerable path is in…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-05-18

Risikokontext

Gemeldeter Schweregrad oder Risikowert: niedrig.
Gemeldeter CVSS-Wert: 3.8 von 10.
Gemeldeter EPSS-Wert: 0.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: go.opentelemetry.io/obi.

Produkt

go: go.opentelemetry.io/obi

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-FJQ3-FFVR-VM46
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-05-18
Letzte Quellenaktivität: 2026-05-18
Weitere Kennungen: CVE-2026-45683
Kuratiert von: hlukh.ch