CVE-2026-102509
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Alokacja pamięci z nadmiernym rozmiarem, alokacja zasobów bez ograniczeń i niekontrolowana rekurencja w implementacji Java Apache PLC4X (PLC4J) umożliwiają złośliwemu lub podszywającemu się urządzeniu wyczerpanie pamięci lub stosu aplikacji klienckiej, powodując odmowę usługi.
W sterowniku OPC UA te defekty są osiągalne przed uwierzytelnieniem: naruszające dane dane są analizowane podczas ustanawiania bezpiecznego kanału i sesji, zanim zostanie z nimi powiązana tożsamość serwera. Dlatego skonfigurowanie zaufanego serwera nie zapobiega wykorzystaniu go przez osobę atakującą, która może to zrobić
podszywać się pod to.
Poszczególne wady to:
- Ciągi bajtów z prefiksem długości są przydzielane według rozmiaru zadeklarowanego na kablu, zanim długość zostanie porównana z faktycznie otrzymanymi danymi (0.10.0 do 0.13.1).
- Pola tablicowe w wygenerowanych parserach protokołów wstępnie przydzielają listę zawierającą liczbę elementów zadeklarowaną w kablu, umożliwiając pojedynczemu polu zliczania wyzwolenie alokacji wielu gigabajtów. Ten parser jest współdzielony przez wszystkie sterowniki PLC4J; sterownik OPC UA to zweryfikowana ścieżka przed uwierzytelnieniem (0.10.0 do 0.13.1).
— Sterownik OPC UA gromadzi fragmenty wiadomości bez wymuszania wynegocjowanej maksymalnej liczby porcji i rozmiaru wiadomości (od 0.12.0 do 0.13.1).
- Sterownik OPC UA wstępnie przydziela kolekcje na podstawie liczby elementów otrzymanej z serwera (od 0.10.0 do 0.13.1).
- Typy protokołów rekurencyjnych są analizowane bez limitu głębokości zagnieżdżenia. Ten sam defekt w implementacji Go jest objęty CVE-2026-102510 https://cveprocess.apache.org/cve5/CVE-2026-102510 .
Ten problem dotyczy Apache PLC4X: od wersji 0.10.0 do wersji 1.0.0.
Użytkownikom zaleca się aktualizację do wersji 1.0.0, która rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org