The OpenTelemetry Collector running on the remote host is prior to 0.107.0. It is, therefore, affected by a timing discrepancy vulnerability, outlined below:

The bearertokenauth extension's server authenticator performs a simple, non-constant time string comparison of the received & configured bearer tokens. This impacts anyone using the `bearertokenauth` server authenticator. Malicious clients with network access to the collector may perform a timing attack against a collector with this authenticator to guess the configured token, by iteratively sending tokens and comparing the response time. This would allow an attacker to introduce fabricated or bad data into the collector's telemetry pipeline.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - OpenTelemetry, also known as OTel, is a vendor-neutral open source Observability framework for     instrumenting, generating, collecting, and exporting telemetry data such as traces, metrics, and logs. The     bearertokenauth extension's server authenticator performs a simple, non-constant time string comparison of     the received & configured bearer tokens. This impacts anyone using the `bearertokenauth` server     authenticator. Malicious clients with network access to the collector may perform a timing attack against     a collector with this authenticator to guess the configured token, by iteratively sending tokens and     comparing the response time. This would allow an attacker to introduce fabricated or bad data into the     collector's telemetry pipeline. The observable timing vulnerability was fixed by using constant-time     comparison in 0.107.0 (CVE-2024-42368)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OpenTelemetry（OTel とも呼ばれます）は、トレース、メトリクス、ログなどのテレメトリデータをインストルメント、生成、収集、エクスポートするためのベンダーに依存しないオープンソースのオブザーバビリティフレームワークです。Bearertokenauth 拡張のサーバー認証コードは、受信したベアラートークンと設定されたベアラートークンの、単純で一定ではない時間文字列比較を実行します。これは、「bearertokenauth」サーバー認証システムを使用しているすべてのユーザーに影響を与えます。コレクターへのネットワークアクセス権を持つ悪意のあるクライアントが、この認証コードを持つコレクターに対してタイミング攻撃を実行し、トークンの送信と応答時間を比較することを繰り返すことで、設定されたトークンを推測する可能性があります。これにより、攻撃者が、コレクターのテレメトリパイプラインに偽造データまたは不良データを導入する可能性があります。観測可能なタイミングの脆弱性が、 の定数時間比較を使用することで修正されました 0.107.0 （CVE-2024-42368）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenTelemetry 也称为 OTel，是一种供应商中立的开源可观察性框架，用于检测、生成、收集和导出遥测数据，例如跟踪、指标和日志。bearertokenauth 扩展的服务器认证程序对接收和配置的不记名标记执行简单、非常量的时间字符串比较。这会影响使用“bearertokenauth”服务器认证程序的所有用户。对收集器具有网络访问权限的恶意客户端可能会针对包含此身份验证程序的收集器执行时序攻击，通过迭代发送标记并比较响应时间来猜测配置的标记。这可允许攻击者将伪造的数据或错误数据引入收集器的遥测管道。通过使用 0.107.0 中的常数时间比较修复了可观察计时漏洞 (CVE-2024-42368)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - OpenTelemetry (亦稱為 OTel) 是供應商中立的開放原始碼 Observability 架構，用於檢測、產生、收集和匯出遙測資料，例如追踪、度量和記錄。Bearertokenauth 延伸模組的伺服器驗證器會對已接收和已設定的不記名 token 執行簡單的非常數時間字串比較，這會影響所有使用「bearertokenath」伺服器驗證器使用者。具有收集器網路存取權的惡意用戶端可對具有此驗證器的收集器發動定時攻擊，以反覆傳送 token 並比較回應時間的方式猜測所設定的 token。這會允許攻擊者將偽造或錯誤的資料引入收集器的遙測工作流程。已透過在 0.107.0 中使用常數時間比較修正可觀察到的計時弱點 (CVE-2024-42368)

請注意，Nessus 依賴供應商報告的套件存在。

リモートホストで実行されている OpenTelemetry Collector は、0.107.0 より前のバージョンです。したがって、以下に概説するタイミング不一致の脆弱性の影響を受けます。

Bearertokenauth 拡張のサーバー認証コードは、受信したベアラートークンと設定されたベアラートークンの、単純で一定ではない時間文字列比較を実行します。これは、「bearertokenauth」サーバー認証システムを使用しているすべてのユーザーに影響を与えます。コレクターへのネットワークアクセス権を持つ悪意のあるクライアントが、この認証コードを持つコレクターに対してタイミング攻撃を実行し、トークンの送信と応答時間を比較することを繰り返すことで、設定されたトークンを推測する可能性があります。これにより、攻撃者が、コレクターのテレメトリパイプラインに偽造データまたは不良データを導入する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端主機上執行的 OpenTelemetry Collector 版本低於 0.107.0，因此會受到如下計時差異弱點影響：

Bearertokenauth 延伸模組的伺服器驗證器會對已接收和已設定的不記名 token 執行簡單的非常數時間字串比較，這會影響所有使用「bearertokenath」伺服器驗證器使用者。具有收集器網路存取權的惡意用戶端可對具有此驗證器的收集器發動定時攻擊，以反覆傳送 token 並比較回應時間的方式猜測所設定的 token。這會允許攻擊者將偽造或錯誤的資料引入收集器的遙測工作流程。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上运行的 OpenTelemetry Collector 版本低于 0.107.0。因此，受到概述如下的时序差异漏洞影响：

bearertokenauth 扩展的服务器认证程序对接收和配置的不记名标记执行简单、非常量的时间字符串比较。这会影响使用“bearertokenauth”服务器认证程序的所有用户。对收集器具有网络访问权限的恶意客户端可能会针对包含此身份验证程序的收集器执行时序攻击，通过迭代发送标记并比较响应时间来猜测配置的标记。这可允许攻击者将伪造的数据或错误数据引入收集器的遥测管道。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
205617	OpenTelemetry Collector < 0.107.0 Timing Discrepancy	Nessus	Misc.	8/15/2024	11/1/2024	medium
228761	Linux Distros Unpatched Vulnerability : CVE-2024-42368	Nessus	Misc.	3/5/2025	9/3/2025	medium
228761	Linux Distros のパッチ未適用の脆弱性: CVE-2024-42368	Nessus	Misc.	3/5/2025	9/3/2025	medium
228761	Linux Distros 未修补的漏洞: CVE-2024-42368	Nessus	Misc.	3/5/2025	9/3/2025	medium
228761	Linux Distros 未修補弱點：CVE-2024-42368	Nessus	Misc.	3/5/2025	9/3/2025	medium
205617	OpenTelemetry Collector < 0.107.0 のタイミング不一致	Nessus	Misc.	8/15/2024	11/1/2024	medium
205617	OpenTelemetry Collector < 0.107.0 定時差異	Nessus	Misc.	8/15/2024	11/1/2024	medium
205617	OpenTelemetry Collector < 0.107.0 时序差异	Nessus	Misc.	8/15/2024	11/1/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium