CVE-2026-102509

Apache PLC4X (PLC4J) Java uygulamasındaki Aşırı Boyut Değeri ile Bellek Tahsisi, Sınırsız Kaynak Tahsisi ve Kontrolsüz Özyineleme, kötü niyetli veya taklit edilen bir cihazın istemci uygulamasının belleğini veya yığınını tüketmesine izin vererek hizmet reddine neden olur. OPC UA sürücüsünde bu kusurlara kimlik doğrulamadan önce erişilebilir: sorunlu veriler, sunucunun kimliği bağlanmadan önce, güvenli kanal ve oturum kurulurken ayrıştırılır. Bu nedenle, güvenilir bir sunucu yapılandırmak, onu taklit edebilen bir saldırgan tarafından gerçekleştirilecek istismarı önlemez. Bireysel kusurlar şunlardır: - Uzunluk öneki olan bayt dizileri, uzunluk gerçekte alınan veriyle karşılaştırılmadan önce ağ üzerinden bildirilen boyutta tahsis edilir (0.10.0 ile 0.13.1 arası). - Oluşturulan protokol ayrıştırıcılarındaki dizi alanları, ağ üzerinden bildirilen öğe sayısı ile bir liste önceden tahsis eder ve tek bir sayım alanının çok gigabaytlık bir tahsisi tetiklemesine izin verir. Bu ayrıştırıcı tüm PLC4J sürücüleri tarafından paylaşılır; OPC UA sürücüsü, doğrulanmış kimlik doğrulama öncesi yoldur (0.10.0 ile 0.13.1 arası). - OPC UA sürücüsü, müzakere edilen maksimum parça sayısını ve mesaj boyutunu zorlamadan mesaj parçalarını biriktirir (0.12.0 ile 0.13.1 arası). - OPC UA sürücüsü, sunucudan alınan öğe sayılarını kullanarak koleksiyonları önceden tahsis eder (0.10.0 ile 0.13.1 arası). - Özyinelemeli protokol türleri, bir iç içe geçme derinliği sınırı olmaksızın ayrıştırılır. Go uygulamasındaki aynı kusur CVE-2026-102510 https://cveprocess.apache.org/cve5/CVE-2026-102510 kapsamında ele alınmıştır. Bu sorun Apache PLC4X'in 0.10.0 sürümünden 1.0.0 sürümü öncesine kadar olan versiyonlarını etkilemektedir. Kullanıcıların sorunu gideren 1.0.0 sürümüne yükseltmeleri önerilir.