Podatności open62541

W bibliotece open62541 do wersji 1.5.5 wykryto podatność polegającą na wywołaniu funkcji responseReadNamespacesArray w pliku src/client/ua_client_connect.c. Manipulacja argumentem Server_NamespaceArray prowadzi do dereferencji wskaźnika null, co może skutkować awarią aplikacji. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego poziomu złożoności i jest trudny do wykorzystania.

W open62541 v1.5.5 implementacja AddReferences po stronie serwera zawiera niekompletną walidację dla nie-lokalnych celów ExpandedNodeId. Zdalny atakujący może wysłać spreparowane AddReferencesRequest z pustym targetServerUri i niezerowym targetNodeId.serverIndex, co powoduje, że wskaźnik węzła docelowego pozostaje NULL, podczas gdy wykonanie jest kontynuowane.

open62541 w wersjach 1.5.0 do 1.5.7 zawiera przepełnienie całkowite w UA_DataType_fromStructureDescription(), które powoduje zawijanie 16-bitowego pola memSize dla dużych definicji struktur niestandardowych. Złośliwy serwer OPC UA może dostarczyć definicje DataType poprzez UA_Client_getRemoteDataTypes(), powodując przepełnienie sterty w decodeBinaryStructure(), co prowadzi do awarii klienta lub umożliwia wykonanie kodu.

Wykryto podatność w open62541 do wersji 1.5.5 w funkcji UA_DataValue_backend_copyRange komponentu History Backend. Manipulacja prowadzi do użycia po zwolnieniu (use after free). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność przepełnienia bufora w open62541 v1.5.5 pozwala zdalnemu atakującemu spowodować denial of service poprzez usługę Service_Call, która waliduje argumenty wejściowe względem metadanych InputArguments rozwiązywanych w czasie wykonania.

W open62541 w wersji 1.5.5 występuje użycie po zwolnieniu (use-after-free) po stronie serwera w ścieżce wywołań zwrotnych lokalnego MonitoredItem. Problem występuje, gdy UA_Subscription_localPublish nadal używa bieżącego UA_Notification po wywołaniu zwrotnym, które usuwa bieżący lokalny MonitoredItem. Pozwala to zdalnemu atakującemu spowodować odmowę usługi.

Problem w open62541 w wersji 1.5.5 i wcześniejszych pozwala zdalnemu atakującemu spowodować odmowę usługi poprzez logikę tworzenia instancji typu NodeManagement.

open62541 1.5.5 zawiera przepełnienie bufora w logice odczytu atrybutów wysokiego poziomu w src/client/ua_client_highlevel.c. Pozwala to zdalnemu atakującemu spowodować odmowę usługi.

W open62541 w wersji 1.5.5 i wcześniejszych istnieje problem umożliwiający zdalnemu atakującemu spowodowanie odmowy usługi przez komponent UA_Client_getRemoteDataTypes.

open62541 w wersji 1.5.5 zawiera przepełnienie bufora oparte na stercie w domyślnej ścieżce HistoryRead, gdy używana jest domyślna baza danych historii z backendem pamięciowym.

Podatność przepełnienia bufora w open62541 v1.5.5 pozwala zdalnemu atakującemu na wywołanie odmowy usługi poprzez obsługę Discovery/LDS.

Podatność przepełnienia bufora w open62541 1.5.5 występuje, gdy Local Discovery Server (LDS) jest zbudowany z multicast discovery przez backend MDNSD. Nieuwierzytelniony zdalny atakujący może wysłać żądanie RegisterServer lub RegisterServer2 z wieloma unikalnymi discoveryUrls, powodując odmowę usługi.

open62541 1.5.5 zawiera odczyt poza zakresem w funkcji klienta responseReadNamespacesArray() w pliku src/client/ua_client_connect.c.

Podatność w bibliotece open62541 w wersji 1.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane żądania CreateSubscription, CreateMonitoredItems(Sampling), Publish, TransferSubscriptions oraz DeleteSubscriptions.

open62541 zawiera podatność use-after-free na stercie w przepływie aktualizacji certyfikatów GDS PushManagement, gdy włączona jest opcja UA_ENABLE_GDS_PUSHMANAGEMENT. Pozwala to zdalnemu atakującemu na spowodowanie odmowy usługi.

Podatność w open62541 (funkcja UA_Client_getRemoteDataTypes w pliku examples/custom_datatype/client_types_custom.c) umożliwia użycie po zwolnieniu (use-after-free) poprzez manipulację. Atak może być przeprowadzony lokalnie, a exploit został publicznie ujawniony.

Podatność znaleziona w o6 open62541 do wersji 1.5.5 dotyczy funkcji UA_Client_readNodeClassAttribute w pliku src/client/ua_client_highlevel.c. Manipulacja prowadzi do przepełnienia bufora na stercie. Atak lokalny jest wymagany. Exploit został opublikowany i może być użyty. Projekt zamknął zgłoszenie, stwierdzając, że nie jest to oficjalny sposób zgłaszania podatności.

W bibliotece open62541 występuje przepełnienie liczby całkowitej (integer overflow) podczas obliczania iloczynu wymiarów tablicy w UA_Variant arrayDimensions. Zdalny atakujący może wykorzystać ten błąd do wywołania zapisu poza zakresem (out-of-bounds write).

Niedomiar liczby całkowitej bez znaku w ścieżce weryfikacji podpisu PubSub w open62541 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi za pomocą spreparowanego pakietu UDP.

W bibliotece open62541 w usłudze TransferSubscriptions występuje podatność use-after-free na stercie. Uwierzytelniony atakujący może wykorzystać ten błąd do spowodowania odmowy usługi lub potencjalnie do wykonania dowolnego kodu.

W bibliotece open62541 występuje przepełnienie liczb całkowitych podczas obliczania rozmiaru tablicy w UA_Variant. Zdalny atakujący może wykorzystać tę podatność do odczytu danych poza przydzielonym obszarem pamięci sterty, co może prowadzić do ujawnienia poufnych informacji.

Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć serwera poprzez usługę GetEndpoints Discovery Service w bibliotece open62541. Pole endpointUrl w żądaniu GetEndpointsRequest nie jest walidowane pod kątem długości, co pozwala na zadeklarowanie dowolnie dużego ciągu znaków (do ~4,09 GB) dostarczanego w fragmentach bez wysyłania ostatniego fragmentu. Serwer buforuje wszystkie fragmenty w pamięci RAM bez ograniczeń aż do czasu wygaśnięcia SecureChannel.

Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć serwera poprzez usługę FindServers Discovery w bibliotece open62541. Pole serverUris w żądaniu FindServersRequest nie jest walidowane pod kątem długości ani rozmiaru tablicy, co pozwala na deklarację dowolnie dużego ciągu znaków (do ~3,9 GB) przesyłanego w fragmentach bez wysyłania ostatniego fragmentu. Serwer buforuje wszystkie fragmenty w pamięci RAM bezterminowo, aż do czasu wygaśnięcia SecureChannel.