CVE-2026-102508

Nome do Software Vulnerável e Versões Afetadas Apache PLC4X versões 0.9.0 through 0.13.1

Description A verificação inadequada de assinaturas criptográficas e a validação incorreta de certificados no driver OPC UA (PLC4J) permitem que um invasor em posição de rede se passe pelo servidor OPC UA. Isso possibilita a leitura, falsificação ou modificação do tráfego do canal seguro, incluindo credenciais de usuário enviadas pelo cliente. Nas versões 0.9.0 a 0.11.0, falhas na verificação de assinatura de mensagem são apenas registradas em log sem serem impostas, e os certificados do servidor são obtidos de respostas de descoberta GetEndpoints não autenticadas. Nas versões 0.12.0 a 0.13.1, a verificação de assinatura é invertida, aceitando assinaturas inválidas e rejeitando as válidas, e os certificados do servidor são aceitos sem uma âncora de confiança por padrão. Além disso, a política de segurança padrão é None em todas as versões afetadas; a partir da versão 0.12.0, o driver pode continuar silenciosamente com uma política de segurança mais fraca do que a configurada, e a versão 0.13.0 prioriza o endpoint mais fraco durante a seleção.

Recommendations Atualize o Apache PLC4X para a versão 1.0.0.