CVE-2026-54156
WysokieCVSS 7.5Streszczenie
node-opcua przed wersją 2.166.0 przechowuje nonce w globalnym cache bez wygaśnięcia i limitu rozmiaru. Nieuwierzytelniony atakujący może wielokrotnie tworzyć sesje z unikalnymi nonce, powodując nieograniczony wzrost pamięci i awarię serwera.
Ocena ryzyka
Ryzyko obejmuje wyczerpanie pamięci i awarię serwera OPC UA, co może prowadzić do przerwy w działaniu systemów przemysłowych.
Rekomendacja
Zaleca się aktualizację node-opcua do wersji 2.166.0 lub nowszej oraz monitorowanie użycia pamięci serwera.
Inne podatności w node-opcua
Zobacz wszystkie- CVE-2026-69200Niskie
node-opcua to implementacja OPC UA dla TypeScript i Node.js. W wersjach przed node-opcua-client 2.145.0 wewnętrzna metoda fieldsToJson w pliku packages/node-opcua-client/source/alarms_and_conditions/client_alarm.ts bezpośrednio przypisuje nieoczyszczone nazwy pól i pozwala ścieżce __proto__.pollutedKey modyfikować Object.prototype. Udane wykorzystanie wymaga, aby aplikacja udostępniała kontrolowane przez atakującego pola zdarzeń do fieldsToJson i może powodować odmowę usługi lub uszkodzenie logiki aplikacji.
- CVE-2026-68904Wysokie
node-opcua to implementacja OPC UA dla TypeScript i Node.js. W wersjach od 2.0.0 do 2.170.0 klienci używający domyślnego ustawienia keepSessionAlive mogą wpaść w powtarzający się cykl ponownego łączenia, gdy przesunięcie zegara serwera OPC UA powoduje odpowiedzi BadInvalidTimestamp, co prowadzi do wycieku deskryptorów plików i pamięci aż do wyczerpania zasobów. Problem naprawiono w wersji 2.170.0.
- CVE-2026-54155Wysokie
node-opcua przed wersją 2.166.0 w obsłudze UserNameIdentityToken nie weryfikuje, czy końcowe bajty zaszyfrowanego hasła odpowiadają bieżącemu serverNonce. Umożliwia to atakującemu sfałszowanie tokena z pustym hasłem lub powtórzenie przechwyconego tokena w innej sesji.
Oryginalny opis (angielski, źródło NVD)
node-opcua is an OPC UA implementation for TypeScript and Node.js. Prior to 2.166.0, the process-global g_alreadyUsedNonce cache used by nonceAlreadyBeenUsed in packages/node-opcua-secure-channel/source/server/server_secure_channel_layer.ts records nonces from OpenSecureChannelRequest and CreateSession without expiration or a size limit. An unauthenticated remote attacker can repeatedly create sessions with unique nonces, causing entries to persist after session expiry and accumulate across connection cycles even when maxSessions=10 limits concurrent sessions. The resulting unbounded heap growth can exhaust the default Node.js heap and crash the node-opcua server process. This issue is fixed in version 2.166.0.