CVE-2026-102508
KrytyczneCVSS 9.2Streszczenie
Sterownik OPC UA w Apache PLC4X (PLC4J) nieprawidłowo weryfikuje podpisy kryptograficzne i certyfikaty serwera. Atakujący znajdujący się w sieci między klientem a serwerem może podszyć się pod serwer OPC UA i czytać, fałszować lub modyfikować ruch w bezpiecznym kanale, w tym przechwycić dane uwierzytelniające użytkownika. Problem występuje w wersjach od 0.9.0 do 0.13.1 i został naprawiony w wersji 1.0.0.
Ocena ryzyka
Organizacja korzystająca z zagrożonych wersji Apache PLC4X może paść ofiarą ataku typu man-in-the-middle, w wyniku którego dojdzie do wycieku poświadczeń użytkowników oraz modyfikacji danych przesyłanych w kanale OPC UA. Domyślna polityka bezpieczeństwa None dodatkowo zwiększa ryzyko, ponieważ ruch może być przesyłany bez szyfrowania.
Rekomendacja
Należy jak najszybciej zaktualizować Apache PLC4X do wersji 1.0.0, która poprawnie weryfikuje podpisy wiadomości, wymaga zweryfikowania certyfikatu serwera względem zaufanego magazynu lub przypiętego certyfikatu oraz domyślnie używa polityki Basic256Sha256 z SignAndEncrypt. Do czasu aktualizacji należy unikać łączenia się z serwerami OPC UA przez niezaufane sieci.
Inne podatności w Apache PLC4X
Zobacz wszystkie- CVE-2026-102511Wysokie
W implementacji Go biblioteki Apache PLC4X (PLC4Go) wykryto podatność polegającą na niewłaściwej weryfikacji źródła kanału komunikacji podczas wykrywania urządzeń ADS. Atakujący może wysłać spreparowany datagram UDP do hosta przeprowadzającego wykrywanie, co pozwala przekierować kolejne połączenia na dowolny adres wybrany przez atakującego. Adres połączenia jest wyprowadzany z AmsNetId zawartego w treści odpowiedzi, a nie z rzeczywistego adresu źródłowego datagramu. Dodatkowo, pojedynczy uszkodzony datagram może wyłączyć nasłuch wykrywania w PLC4Go (panic), a w PLC4J (ADS, EtherNet/IP, Modbus) może zatrzymać lub zapętlić proces wykrywania.
- CVE-2026-102510Wysokie
W implementacji Go biblioteki Apache PLC4X (PLC4Go) wykryto wiele poważnych błędów, m.in. przepełnienie liczb całkowitych, nieprawidłową walidację indeksów tablic, niekontrolowaną rekurencję oraz alokację pamięci o nadmiernym rozmiarze. Złośliwe urządzenie lub atakujący mogący wstrzykiwać ruch sieciowy może doprowadzić do awarii lub wyczerpania pamięci aplikacji klienckiej, powodując odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Improper Verification of Cryptographic Signature and Improper Certificate Validation in the OPC UA driver of Apache PLC4X (PLC4J) allows an attacker in a network position between client and server to impersonate the OPC UA server and to read, forge or modify secure-channel traffic, including user credential ssent by the client. The defect manifests differently depending on the version: - In 0.9.0 through 0.11.0 a failed message-signature check is only logged and never enforced, and there is no mechanism to verify the server certificate: it is taken from the unauthenticated GetEndpoints discovery response and used to encrypt the user's password. - In 0.12.0 through 0.13.1 the signature check is inverted (valid signatures are rejected, invalid ones accepted), and server certificates are accepted without a trust anchor by default. - In all affected versions the default security policy is None. Starting with 0.12.0 the driver additionally continues silently at a weaker security policy than the one configured, and starting with 0.13.0 endpoint selection prefers the weakest matching endpoint. Users checking only for one of these mechanisms may wrongly conclude they are unaffected. This issue affects Apache PLC4X: from 0.9.0 before 1.0.0. Users are recommended to upgrade to version 1.0.0, which fixes the issue. Version 1.0.0 verifies message signatures correctly, refuses to connect unless the server certificate can be verified against a configured trust store or pinned certificate, defaults to Basic256Sha256 with SignAndEncrypt, and fails the connection if the negotiated security policy is weaker than the configured one.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS