CVE-2026-68904

node-opcua, TypeScript və Node.js üçün OPC UA tətbiqidir. 2.0.0 versiyasından 2.170.0 versiyasına qədər, standart keepSessionAlive parametrlərindən istifadə edən node-opcua klientləri, OPC UA serverinin saat fərqi (clock skew) səbəbindən BadInvalidTimestamp cavabları aldıqda təkrarlanan yenidən qoşulma dövrünə girə bilər. ClientSessionKeepAliveManager._ping_server serverdən gələn ServiceFault xətasını şəbəkə kəsilməsi kimi qiymətləndirmiş və transportun yenidən qoşulmasını məcburi etmişdir, eyni zamanda ClientTCP_transport._on_ACK_response uğursuz HEL/ACK danışıqlarından sonra socket.end() funksiyasından istifadə etmişdir və qarşı tərəf bağlantını bağlamadıqda bağlantı FIN-WAIT-2 vəziyyətində qala bilərdi. keepAliveInterval intervalında baş verən bu təkrarlanmalar, klient prosesi və ya konteyneri resursların tükənməsi səbəbindən dayandırılana qədər fayl deskriptorlarının və yaddaşın toplanmasına səbəb olur. Bu problem 2.170.0 versiyasında düzəldilmişdir.