CVE-2026-102508

Niewłaściwa weryfikacja podpisu kryptograficznego i nieprawidłowa weryfikacja certyfikatu w sterowniku OPC UA Apache PLC4X (PLC4J) umożliwiają osobie atakującej znajdującej się w pozycji sieciowej między klientem a serwerem podszywanie się pod serwer OPC UA i odczytywanie, fałszowanie lub modyfikowanie ruchu w bezpiecznym kanale, w tym danych uwierzytelniających użytkownika przesłanych przez klienta.

Wada objawia się różnie w zależności od wersji:
- W wersjach 0.9.0 do 0.11.0 nieudane sprawdzenie podpisu wiadomości jest tylko rejestrowane i nigdy nie jest egzekwowane, nie ma też mechanizmu weryfikacji certyfikatu serwera: jest on pobierany z nieuwierzytelnionej odpowiedzi wykrycia GetEndpoints i używany do szyfrowania hasła użytkownika.
- W wersjach 0.12.0 do 0.13.1 odwrócono sprawdzanie podpisów (ważne podpisy są odrzucane, nieprawidłowe akceptowane), a certyfikaty serwera są domyślnie akceptowane bez kotwicy zaufania.
— We wszystkich wersjach, których dotyczy problem, domyślną polityką bezpieczeństwa jest Brak. Począwszy od wersji 0.12.0 sterownik dodatkowo kontynuuje pracę w trybie cichym przy słabszej polityce bezpieczeństwa niż ta skonfigurowana, a począwszy od wersji 0.13.0 wybór punktu końcowego preferuje najsłabszy pasujący punkt końcowy.

Użytkownicy sprawdzający tylko jeden z tych mechanizmów mogą błędnie stwierdzić, że nie ma to na nie wpływu.

Ten problem dotyczy Apache PLC4X: od wersji 0.9.0 do wersji 1.0.0.

Użytkownikom zaleca się aktualizację do wersji 1.0.0, która rozwiązuje problem. Wersja 1.0.0 poprawnie weryfikuje podpisy wiadomości, odmawia połączenia, chyba że certyfikat serwera może zostać zweryfikowany w oparciu o skonfigurowany magazyn zaufania lub przypięty certyfikat, domyślnie Basic256Sha256 z SignAndEncrypt i kończy się niepowodzeniem
połączenia, jeżeli wynegocjowana polityka bezpieczeństwa jest słabsza od skonfigurowanej.