🟠 CVE-2026-63252: High Luecke in Eclipse Milo

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-63252 betrifft Eclipse Milo in den Versionen 0.6.0 bis 1.1.4. Ein kritischer Speicherleck-Bug in den UASC-Server-Transport-Handlern führt zu einer Denial-of-Service-Anfälligkeit. Unauthentizierte Remote-Angreifer können durch gezieltes Aussenden unvollständiger Nachrichtenfragmente und anschließendem Verbindungsabbruch den gepoolten direkten Speicher des Servers erschöpfen und damit zu dessen Termination führen.

Betroffene Systeme

Vulnerable Versionen:

• Eclipse Milo 0.6.0 bis 1.1.4

Der OPC UA Stack wird häufig in industriellen Steuerungssystemen und IoT-Anwendungen eingesetzt. Besonders kritisch sind Produktionsumgebungen, die auf einer anfälligen Version basieren.

Technische Details

Die UASC-Transport-Layer implementiert einen Mechanismus zur Verarbeitung von Nachrichtenfragmentierungen. Bei einem Verbindungsabbruch während der Datenübertragung werden diese partiellen Message Chunks nicht ordnungsgemäß aus dem Speicher-Pool freigegeben. Dies führt zu einem graduellen Memory-Leak.

Ein Angreifer kann diese Schwachstelle durch folgendes Szenario ausnutzen:

1. Aufbau mehrerer gleichzeitiger Verbindungen zum UASC-Server
2. Versand von unvollständigen UASC-Message-Fragmenten
3. Sofortiger Verbindungsabbruch ohne Completion
4. Wiederholung dieses Prozesses in schneller Folge

Da keine Authentifizierung erforderlich ist, kann jeder Netzwerk-zugängliche Client diese Attacke durchführen. Der direkte Speicher (Direct Memory) wird durch den Bug nicht freigegeben, wodurch das Heap-Limit überschritten wird und der Server crasht.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf Eclipse Milo Version 1.1.5 oder neuer durchführen
• Netzwerk-Segmentierung: UASC-Server von untrusted Netzwerken isolieren
• Monitoring: Heap-Memory-Auslastung und Connection-Events kontinuierlich überwachen
• Rate-Limiting: Verbindungsaufbau-Raten begrenzen
• Firewall-Regeln: Strikte Zugriffskontrolle auf OPC UA Ports implementieren

Bewertung

CVSS v3.1: 7.5 (High)

Die Kombination aus leichtem Exploit, fehlender Authentifizierung und Verfügbarkeitskompromittierung rechtfertigt die High-Einstufung. Für produktive Umgebungen ist sofortiges Patching erforderlich.

„`