PT-2022-4441 · Unknown · Node-Opcua

Sharon Brizinov + 2 · CVE-2022-25231 · Publicado 2022-08-22 · Atualizado 2022-08-26

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do node-opcua anteriores à 2.74.0

Descrição

O problema está relacionado a uma condição de Negação de Serviço (DoS) que pode ser desencadeada pelo envio de uma mensagem OPC UA especificamente criada com um NodeID OPC UA especial. Isso ocorre quando a alocação de memória solicitada excede o limite de memória do v8, levando a um consumo descontrolado de recursos. A exploração dessa vulnerabilidade pode permitir que um invasor remoto cause uma interrupção no serviço.

Recomendações

Para versões do node-opcua anteriores à 2.74.0, atualize para a versão 2.74.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao NodeID OPC UA para minimizar o risco de exploração.

Exploit

Correção

Resource Exhaustion

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-400

CWE-770

Identificadores relacionados

BDU:2022-05305

CVE-2022-25231

GHSA-QPGC-XH7J-52Q8

Produtos afetados

Node-Opcua

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/25xxx/CVE-2022-25231.json · Exploit
• https://github.com/node-opcua/node-opcua/pull/1182 · Correção
• https://github.com/node-opcua/node-opcua/commit/7b5044b3f5866fbedc3efabd05e407352c07bd2f · Correção
• https://github.com/node-opcua/node-opcua · Nota
• https://osv.dev/vulnerability/GHSA-qpgc-xh7j-52q8 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-JS-NODEOPCUA-2988724 · Nota
• https://osv.dev/vulnerability/CVE-2022-25231 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-05305 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-25231 · Nota de Segurança