CVE-2026-102511

Niewłaściwa weryfikacja źródła kanału komunikacyjnego w przypadku wykrycia przez ADS implementacji Go Apache PLC4X (PLC4Go) umożliwia atakującemu wysłanie datagramów UDP do hosta wykrywającego w celu przekierowania kolejnych połączeń na dowolny, wybrany przez atakującego adres. Połączenie wyniku odkrycia
adres został uzyskany z AmsNetId podanego w treści odpowiedzi, a nie z rzeczywistego adresu źródłowego datagramu. Jedna sfałszowana odpowiedź na wykrycie może zatem wstawić wpis spisu wskazujący na dowolnego hosta, w tym hosty poza siecią lokalną, oraz aplikację łączącą się z wykrytymi urządzeniami
otworzy swoją sesję ADS, w tym wszelkie skonfigurowane poświadczenia trasy, do tego hosta.

Ponadto odbiorniki wykrywania w obu implementacjach można wyłączyć za pomocą pojedynczego zniekształconego datagramu:
- W wykrywaniu PLC4Go ADS, blok wersji krótkiej powoduje panikę, która kończy nasłuchiwanie do końca połączenia wykrywającego, więc prawidłowe urządzenia, które odpowiedziały później, nie są raportowane.
- W PLC4J wykrywacze ADS i EtherNet/IP zatrzymują się po nieobsługiwanym wyjątku wynikającym ze źle sformułowanej odpowiedzi.
- Wykrywacz Modbus PLC4J może pracować w nieskończoność, zużywając rdzeń procesora, przez przeskanowany host, który wysyła częściową odpowiedź.

Eksploatacja wymaga, aby aplikacja wywołała interfejs API wykrywania, który jest opcjonalny, oraz aby przekierowanie połączenia zadziałało na wykrytych elementach.

Ten problem dotyczy Apache PLC4X: PLC4Go od wersji 0.11.0 przed wersją 1.0.0; Sterowniki PLC4J ADS i Modbus od wersji 0.10.0 do wersji 1.0.0; Sterownik PLC4J EtherNet/IP od wersji 0.11.0 do wersji 1.0.0. PLC4Go jest używane jako moduł Go github.com/apache/plc4x/plc4go; wersje odnoszą się do odpowiednich wydań Apache PLC4X.

Użytkownikom zaleca się aktualizację do wersji 1.0.0, która rozwiązuje problem. Wersja 1.0.0 wyprowadza adres połączenia z adresu źródłowego datagramu i rejestruje ostrzeżenie, gdy żądany AmsNetId się z nim nie zgadza.