CVE-2026-6899
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W bibliotece S2OPC w opakowaniu kryptograficznym CycloneCrypto sprawdzanie unieważnienia certyfikatu uwzględnia tylko pierwszy pasujący CRL, ignorując inne ważne CRL tego samego CA. Może to pozwolić na nawiązanie połączenia między klientem a serwerem OPC UA z użyciem unieważnionego certyfikatu.
Ocena ryzyka
Organizacja może być narażona na ryzyko nawiązania połączenia z nieautoryzowanymi podmiotami, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację biblioteki S2OPC oraz wdrożenie dodatkowych mechanizmów weryfikacji certyfikatów, aby zapewnić, że wszystkie CRL są brane pod uwagę.
Oryginalny opis (angielski, źródło NVD)
Check for certificate revocation only considers the first matching CRL and ignores other valid CRLs of the same CA in the CycloneCrypto cryptographic wrapper of S2OPC library. It might allow connection between an OPC UA client and server using a revoked certificate.