CVE-2026-54156
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
node-opcua przed wersją 2.166.0 przechowuje nonce w globalnym cache bez wygaśnięcia i limitu rozmiaru. Nieuwierzytelniony atakujący może wielokrotnie tworzyć sesje z unikalnymi nonce, powodując nieograniczony wzrost pamięci i awarię serwera.
Ocena ryzyka
Ryzyko obejmuje wyczerpanie pamięci i awarię serwera OPC UA, co może prowadzić do przerwy w działaniu systemów przemysłowych.
Rekomendacja
Zaleca się aktualizację node-opcua do wersji 2.166.0 lub nowszej oraz monitorowanie użycia pamięci serwera.
Inne podatności w node-opcua
Zobacz wszystkie- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-69200Niskie
node-opcua to implementacja OPC UA dla TypeScript i Node.js. W wersjach przed node-opcua-client 2.145.0 wewnętrzna metoda fieldsToJson w pliku packages/node-opcua-client/source/alarms_and_conditions/client_alarm.ts bezpośrednio przypisuje nieoczyszczone nazwy pól i pozwala ścieżce __proto__.pollutedKey modyfikować Object.prototype. Udane wykorzystanie wymaga, aby aplikacja udostępniała kontrolowane przez atakującego pola zdarzeń do fieldsToJson i może powodować odmowę usługi lub uszkodzenie logiki aplikacji.
- CVE-2026-68904Wysokie
node-opcua to implementacja OPC UA dla TypeScript i Node.js. W wersjach od 2.0.0 do 2.170.0 klienci używający domyślnego ustawienia keepSessionAlive mogą wpaść w powtarzający się cykl ponownego łączenia, gdy przesunięcie zegara serwera OPC UA powoduje odpowiedzi BadInvalidTimestamp, co prowadzi do wycieku deskryptorów plików i pamięci aż do wyczerpania zasobów. Problem naprawiono w wersji 2.170.0.
- CVE-2026-54155Wysokie
node-opcua przed wersją 2.166.0 w obsłudze UserNameIdentityToken nie weryfikuje, czy końcowe bajty zaszyfrowanego hasła odpowiadają bieżącemu serverNonce. Umożliwia to atakującemu sfałszowanie tokena z pustym hasłem lub powtórzenie przechwyconego tokena w innej sesji.
Oryginalny opis (angielski, źródło NVD)
node-opcua is an OPC UA implementation for TypeScript and Node.js. Prior to 2.166.0, the process-global g_alreadyUsedNonce cache used by nonceAlreadyBeenUsed in packages/node-opcua-secure-channel/source/server/server_secure_channel_layer.ts records nonces from OpenSecureChannelRequest and CreateSession without expiration or a size limit. An unauthenticated remote attacker can repeatedly create sessions with unique nonces, causing entries to persist after session expiry and accumulate across connection cycles even when maxSessions=10 limits concurrent sessions. The resulting unbounded heap growth can exhaust the default Node.js heap and crash the node-opcua server process. This issue is fixed in version 2.166.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS