CVE-2022-25897

org.eclipse.milo:sdk-server versões anteriores à 0.6.8

A vulnerabilidade permite um ataque de Negação de Serviço (DoS) ao contornar as limitações de consumo excessivo de memória, enviando múltiplas solicitações CloseSession com o parâmetro deleteSubscription definido como False. Isso pode ser feito criando-se muitas sessões com assinaturas e itens monitorados sem nunca excluir os itens monitorados, consumindo eventualmente toda a memória disponível do processo e levando a uma falha. A especificação OPC UA descreve um conceito chamado Assinaturas, que monitora um conjunto de Itens Monitorados para Notificações e os retorna ao Cliente em resposta a solicitações de Publicação.

Para versões anteriores à 0.6.8, atualize para a versão 0.6.8 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o número de sessões simultâneas, assinaturas por sessão e itens monitorados por assinatura para minimizar o risco de exploração. Além disso, evite usar o parâmetro deleteSubscription igual a False em solicitações CloseSession até que o problema seja resolvido.