CVE-2026-81192— OpenTelemetry.Resources.Host 本地代码执行漏洞
一分钟漏洞结论
影响对象
open-telemetry opentelemetry-dotnet-contrib
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
NuGet 包（提供主机相关的 OpenTelemetry 资源检测器）在 macOS 上存在一个不受信任的搜索路径漏洞。在 1.16.0-beta.2 版本之前， 资源属性检测器通过裸名称（bare name）而非绝对路径来启动 和 可执行文件，因此这两个可执行文件的解析依赖于 环境变量。一个权限低于宿主应用程序的本地攻击者，若能影响 或向位于系统目录之前出现在 中的目录写入内容，就可以让任意二进制文件在应用程序的安全上下文中执行，从而导致本地代码执行或权限提升。该漏洞仅影响 macOS 主机；Linux 和 W
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-81192 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
OpenTelemetry.Resources.Host vulnerable to arbitrary code execution via local PATH hijacking on macOS
来源: CVE Program / CVE List V5
Vulnerability Description
`OpenTelemetry.Resources.Host` NuGet package, which provides OpenTelemetry resource detectors for host, is affected by an untrusted search path vulnerability on macOS. Prior to version 1.16.0-beta.2, the `host.id` resource attribute detector launches the `sh` and `ioreg` executables by bare name rather than by absolute path, so both are resolved through the `PATH` environment variable. A local attacker who is less privileged than the host application, and who can influence `PATH` or write to a directory that appears in `PATH` ahead of the system directories, can have an arbitrary binary executed in the application's security context, resulting in local code execution/privilege escalation. This vulnerability only affect macOS hosts - Linux and Windows hosts are unaffected. Version 1.16.0-beta.2 contains a patch. No known workarounds are available.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
不可信的搜索路径
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| open-telemetry | opentelemetry-dotnet-contrib | < 1.16.0-beta.2 | - |
|
二、漏洞 CVE-2026-81192 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-81192 的情报信息
请登录查看更多情报信息。
CVE-2026-81192 厂商安全公告 (1)
IV. Related Vulnerabilities
Same vendor: open-telemetry
-
CVE-2026-45404
open-telemetry opentelemetry-go 竞争条件问题漏洞 -
CVE-2026-48504
OpenTelemetry - CNCF OpenTelemetry Rust 资源管理错误漏洞 -
CVE-2026-59892
OpenTelemetry JavaScript Client 异常处理不当漏洞 -
CVE-2026-54712
open-telemetry opentelemetry-java-instrumentation 资源管理错误漏洞 -
CVE-2026-54704
open-telemetry opentelemetry-java-instrumentation 日志信息泄露漏洞
V. Comments for CVE-2026-81192
暂无评论