„`html
Zusammenfassung
CVE-2026-33592 beschreibt eine kritische Memory-Exhaustion-Schwachstelle in der open62541-Bibliothek, einem weit verbreiteten Open-Source-Implementierung des OPC UA-Protokolls. Die Sicherheitslücke ermöglicht es unauthentifizierten Angreifern, Speicherressourcen auf betroffenen Servern zu erschöpfen und somit einen Denial-of-Service (DoS)-Angriff durchzuführen. Der Schweregrad wird mit CVSS 7.5 als hoch bewertet.
Betroffene Systeme
Folgende Versionen von open62541 sind vulnerable:
- Versionsreihe 1.4.0 bis 1.4.16
- Versionsreihe 1.5.0 bis 1.5.4
- Master-Branch (Entwicklungsversion)
Betroffen sind alle Systeme, die open62541 als OPC UA-Server-Implementierung einsetzen, insbesondere in industriellen Automatisierungsumgebungen und IoT-Anwendungen.
Technische Details
Die Vulnerabilität liegt in der FindServers Discovery Service. Das serverUris-Feld des FindServersRequest wird nicht auf Länge oder Array-Größe validiert. Ein Angreifer kann beliebig große Strings deklarieren (bis ca. 3,9 GB), die über mehrere Intermediate Chunks übertragen werden, ohne den finalen Chunk zu senden.
Der Server puffert alle eingehenden Chunks im RAM und behält diese unbegrenzt, bis das SecureChannel aufgrund eines Timeouts beendet wird. Dabei ist die Schwachstelle pre-session und umgeht alle Verschlüsselungskonfigurationen. Dies ermöglicht einen unauthentifizierten Angriff ohne vorherige Authentifizierung.
Empfohlene Maßnahmen
- Sofortige Überprüfung der eingesetzten open62541-Versionen
- Implementation von Netzwerk-Level-Firewalls zur Beschränkung des Zugriffs auf OPC UA-Ports
- Monitoring von Speicherauslastung und ungewöhnlichen Verbindungsmustern
- Wartung auf die nächste verfügbare gepatchte Version
- Rate-Limiting für FindServers-Anfragen implementieren
Bewertung
CVSS Score: 7.5 (High)
Diese Schwachstelle stellt ein erhebliches Risiko dar, besonders in kritischen Infrastrukturen. Ein Patch ist derzeit nicht verfügbar. Interim-Maßnahmen sind dringend erforderlich.
„`