Podatności Apache PLC4X

W implementacji Go biblioteki Apache PLC4X (PLC4Go) wykryto podatność polegającą na niewłaściwej weryfikacji źródła kanału komunikacji podczas wykrywania urządzeń ADS. Atakujący może wysłać spreparowany datagram UDP do hosta przeprowadzającego wykrywanie, co pozwala przekierować kolejne połączenia na dowolny adres wybrany przez atakującego. Adres połączenia jest wyprowadzany z AmsNetId zawartego w treści odpowiedzi, a nie z rzeczywistego adresu źródłowego datagramu. Dodatkowo, pojedynczy uszkodzony datagram może wyłączyć nasłuch wykrywania w PLC4Go (panic), a w PLC4J (ADS, EtherNet/IP, Modbus) może zatrzymać lub zapętlić proces wykrywania.

W implementacji Go biblioteki Apache PLC4X (PLC4Go) wykryto wiele poważnych błędów, m.in. przepełnienie liczb całkowitych, nieprawidłową walidację indeksów tablic, niekontrolowaną rekurencję oraz alokację pamięci o nadmiernym rozmiarze. Złośliwe urządzenie lub atakujący mogący wstrzykiwać ruch sieciowy może doprowadzić do awarii lub wyczerpania pamięci aplikacji klienckiej, powodując odmowę usługi (DoS).

Podatność w Apache PLC4X (implementacja Java, PLC4J) pozwala złośliwemu lub podszywającemu się urządzeniu na wyczerpanie pamięci lub stosu aplikacji klienckiej, powodując denial of service (DoS). W sterowniku OPC UA błędy są osiągalne przed uwierzytelnieniem, podczas nawiązywania bezpiecznego kanału i sesji, zanim tożsamość serwera zostanie powiązana. Dotyczy wersji od 0.10.0 do 0.13.1.

Sterownik OPC UA w Apache PLC4X (PLC4J) nieprawidłowo weryfikuje podpisy kryptograficzne i certyfikaty serwera. Atakujący znajdujący się w sieci między klientem a serwerem może podszyć się pod serwer OPC UA i czytać, fałszować lub modyfikować ruch w bezpiecznym kanale, w tym przechwycić dane uwierzytelniające użytkownika. Problem występuje w wersjach od 0.9.0 do 0.13.1 i został naprawiony w wersji 1.0.0.