CVE-2023-47108

OpenTelemetry-Go Contrib es una colección de paquetes de terceros para OpenTelemetry-Go. Antes de la versión 0.46.0, grpc Unary Server Interceptor agrega etiquetas `net.peer.sock.addr` y `net.peer.sock.port` que tienen cardinalidad independiente. Conduce al posible agotamiento de la memoria del servidor cuando se envían muchas solicitudes maliciosas. Un atacante puede inundar fácilmente la dirección y el puerto del par para solicitudes. La versión 0.46.0 contiene una solución para este problema. Como workaround para dejar de verse afectado, se puede utilizar una vista que elimine los atributos. La otra posibilidad es deshabilitar la instrumentación de métricas de grpc pasando la opción `otelgrpc.WithMeterProvider` con `noop.NewMeterProvider`.

A memory exhaustion flaw was found in the otelgrpc handler of open-telemetry. This flaw may allow a remote unauthenticated attacker to flood the peer address and port and exhaust the server's memory by sending multiple malicious requests, affecting the availability of the system.