CVE-2026-102510
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Przepełnienie liczb całkowitych, nieprawidłowa walidacja indeksu tablicy, niekontrolowana rekurencja i alokacja pamięci z nadmierną wartością rozmiaru w implementacji Go Apache PLC4X (PLC4Go) umożliwiają złośliwemu urządzeniu lub osobie atakującej zdolnej do wstrzykiwania ruchu sieciowego awarię lub wyczerpanie pamięci aplikacji klienckiej,
powodując odmowę usługi.
Poszczególne wady to:
- Wygenerowane parsery wstępnie przydzielają tablice z liczbą elementów zadeklarowaną na przewodzie (0.13.0 do 0.13.1).
- Pomocnicy odczytu transportu przydzielają bufory o rozmiarze określonym na kablu bez górnego ograniczenia.
- Obsługa odpowiedzi ADS i KNXnet/IP indeksuje otrzymane dane bez sprawdzania ich długości, wywołując panikę.
- Obsługa długości ramek ADS i EIP akceptuje lub arytmetycznie zawija do długości zerowej, przerywając ramkowanie wiadomości.
- Typy protokołów rekurencyjnych są analizowane bez limitu głębokości zagnieżdżenia. Ten sam defekt w implementacji Java jest objęty CVE-2026-102509 https://cveprocess.apache.org/cve5/CVE-2026-102509 .
Dodatkowo arytmetykę długości i pozycji w wygenerowanych serializatorach przeprowadzono w 16-bitowych liczbach całkowitych. Jeśli aplikacja przekazuje dane będące pod wpływem atakującego, o rozmiarze większym niż 8 KB, pole długości jest zawijane, a pozostała część ładunku może zostać zinterpretowana przez urządzenie odbierające (na przykład sterownik PLC ADS) jako
dodatkowe, niezależne komunikaty protokołu.
Ten problem dotyczy Apache PLC4X: od wersji 0.11.0 do wersji 1.0.0. PLC4Go jest używane jako moduł Go github.com/apache/plc4x/plc4go; wersje odnoszą się do odpowiednich wydań Apache PLC4X.
Użytkownikom zaleca się aktualizację do wersji 1.0.0, która rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org