CVE-2026-102508

Apache PLC4X (PLC4J)-in OPC UA drayverində kriptoqrafik imzanın yanlış yoxlanılması və sertifikatın düzgün təsdiqlənməməsi, klient və server arasındakı şəbəkə mövqeyində olan hücumçuya OPC UA serverini təqlid etməyə və təhlükəsiz kanal trafiki daxil olmaqla, klient tərəfindən göndərilən istifadəçi etibarnamələrini oxumağa, saxtalaşdırmağa və ya dəyişdirməyə imkan verir. Qüsurlar versiyadan asılı olaraq fərqli şəkildə özünü göstərir: - 0.9.0-dan 0.11.0-a qədər olan versiyalarda mesaj imzasının yoxlanılmasının uğursuz olması yalnız loqlanır və heç vaxt tətbiq edilmir, həmçinin server sertifikatını yoxlamaq üçün heç bir mexanizm yoxdur: o, autentifikasiya olunmamış GetEndpoints kəşf cavabından götürülür və istifadəçinin parolunu şifrələmək üçün istifadə edilir. - 0.12.0-dan 0.13.1-ə qədər olan versiyalarda imza yoxlaması tərs işləyir (etibarlı imzalar rədd edilir, etibarsızlar qəbul edilir) və server sertifikatları standart olaraq etibar nöqtəsi (trust anchor) olmadan qəbul edilir. - Bütün təsirlənmiş versiyalarda standart təhlükəsizlik siyasəti None-dır. 0.12.0 versiyasından başlayaraq drayver əlavə olaraq konfiqurasiya edilmişdən daha zəif təhlükəsizlik siyasəti ilə səssizcə davam edir və 0.13.0 versiyasından başlayaraq son nöqtə seçimi (endpoint selection) uyğun gələn ən zəif son nöqtəyə üstünlük verir. Yalnız bu mexanizmlərdən birini yoxlayan istifadəçilər səhvən onların təsirə məruz qalmadığı qənaətinə gələ bilərlər. Bu problem Apache PLC4X-in 0.9.0-dan 1.0.0-ə qədər olan versiyalarına təsir edir. İstifadəçilərə problemi aradan qaldıran 1.0.0 versiyasına yeniləmək tövsiyə olunur. 1.0.0 versiyası mesaj imzalarını düzgün şəkildə yoxlayır, server sertifikatı konfiqurasiya edilmiş etibar deposuna (trust store) və ya sabitləşdirilmiş (pinned) sertifikata qarşı təsdiqlənmədikdə qoşulmağı rədd edir, standart olaraq SignAndEncrypt ilə Basic256Sha256-nı tətbiq edir və razılaşdırılmış təhlükəsizlik siyasəti konfiqurasiya edilmişdən daha zəif olduqda bağlantını dayandırır.