„`html
Zusammenfassung
CVE-2026-11946 ist eine High-Severity-Sicherheitslücke in der open62541-Bibliothek, die einen Memory-Exhaustion-Angriff ermöglicht. Ein unauthentifizierter Angreifer kann über den GetEndpoints Discovery Service des OPC UA-Protokolls die verfügbaren RAM-Ressourcen eines Servers erschöpfen, ohne sich authentifizieren zu müssen.
Betroffene Systeme
Die Vulnerability betrifft folgende open62541-Versionen:
- 1.4.0 bis 1.4.16
- 1.5.0 bis 1.5.4
- Master-Branch
Alle Systeme, die open62541 für OPC UA-Implementierungen nutzen, sind potentiell gefährdet.
Technische Details
Die Schwachstelle liegt in der fehlenden Längenvaldierung des endpointUrl-Feldes in GetEndpointsRequest-Paketen. Ein Angreifer kann eine beliebig große Zeichenkette (bis zu ~4,09 GB via UInt32-Längenfeld) deklarieren und diese über mehrere intermediate Chunks fragmentieren, ohne das finale Chunk je zu übertragen.
Der Server buffert alle empfangenen Chunks im RAM, bis der SecureChannel-Timeout auftritt – typischerweise erst nach mehreren Minuten. Dies ermöglicht eine effektive Denial-of-Service-Attacke durch Speichererschöpfung. Der Angriff operiert auf Pre-Session-Ebene und umgeht vollständig alle Verschlüsselungskonfigurationen.
CVSS-Score: 7.5 (High) – Netzwerkbasiert ausnutzbar, keine Authentifizierung erforderlich, hohe Verfügbarkeitsgefährdung.
Empfohlene Massnahmen
- Sofortige Netzwerk-Segmentierung: Beschränkung des Zugriffs auf OPC UA-Services auf vertrauenswürdige Netzwerksegmente
- Firewall-Regeln: Blockierung unauthentifizierter Verbindungen zu OPC UA-Ports (standardmäßig 4840)
- Ressourcen-Monitoring: Implementierung von RAM-Ăśberwachung mit automatischen Alerts bei anomalen Speicherauslastungen
- Upgrade-Planung: Verfolgung von sicherheitsgepatcht Versionen von open62541
Bewertung
Diese LĂĽcke stellt eine erhebliche Gefahr dar, da sie ohne Authentifizierung ausnutzbar ist und kritische Infrastruktursysteme lahmlegen kann. Sofortige AbhilfemaĂźnahmen werden dringend empfohlen.
„`