OpenTelemetry.Resources.Host vulnerable to arbitrary code execution via local PATH hijacking on macOS

Beschreibung

### Zusammenfassung Die "OpenTelemetry". Ressourcen. Host` NuGet Paket ist von einer nicht vertrauenswürdigen Suchpfadanfälligkeit auf macOS betroffen. Der `host.id`-Ressourcenattribut-Detektor startet die `sh`- und `ioreg`-Ausführbarkeiten nach bloßem Namen und nicht nach absolutem Pfad, so dass beide durch die `PATH`-Umgebungsvariable aufgelöst werden. Ein lokaler Angreifer, der weniger privilegiert ist als die Host-Anwendung und der "PATH" beeinflussen oder in ein Verzeichnis schreiben kann, das in "PATH" vor den Systemverzeichnissen erscheint, kann eine beliebige Binärdatei im Sicherheitskontext der Anwendung ausführen lassen, was zu einer Eskalation der lokalen Codeausführung / Privilegien führt. ### Details Die Implementierung des Hostdetektors macOS hat immer `ioreg` und `sh` über ihre bloßen Namen aufgerufen, da sie von [open-telemetry/opentelemetry-dotnet-contrib#1631](https://github.com/open-telemetry/opentelemetry-dotnet-contrib/pull/1631) implementiert wurde. Die Sicherheitsanfälligkeit wurde durch [open-telemetry/opentelemetry-dotnet-contrib#4760](https://github.com/open-telemetry/opentelemetry-dotnet-contrib/pull/4760) behoben, das `ioreg` direkt mit seinem absoluten Pfad ausführt. ### Impact-Anwendungen, die unter **macOS** laufen und die `OpenTelemetry' verwenden. Ressourcen. Host`-Detektor, wenn ein Angreifer, der *weniger privilegiert* ist als der Anwendungsprozess, "PATH" beeinflussen oder in ein "PATH"-Verzeichnis schreiben kann, das den Systemverzeichnissen vorausgeht (z. B. ein höherprivilegierter Dienst mit einem benutzerbeschreibbaren Verzeichnis in seinem Suchpfad oder ein Prozess, der eine vom Angreifer beeinflusste Umgebung erbt). Der Angreifer erhält die Codeausführung im Sicherheitskontext der Anwendung durch eine vom Angreifer gesteuerte "ioreg" ausführbare Datei. ### Mitigation Diese Sicherheitsanfälligkeit betrifft nur macOS-Hosts - Linux- und Windows-Hosts sind nicht betroffen. ### Workarounds Keine bekannt. ### Referenzen - [GHSA-9h8m-3fm2-qjrq](https://github.com/open-telemetry/opentelemetry-go/security/advisories/GHSA-9h8m-3fm2-qjrq) - [open-telemetry/opentelemetry-dotnet-contrib#4760](https://github.com/open-telemetry/opentelemetry-dotnet-contrib/pull/4760) - [CWE-426](https://cwe.mitre.org/data/definitions/426.html)

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 1.16.0-beta.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apple OpenTelemetry.Resources.Host.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.