CVE-2026-68904 in node-opcua
Zusammenfassung
von VulDB • 16.09.2026
node-opcua ist eine OPC UA-Implementierung für TypeScript und Node.js. Von Version 2.0.0 bis 2.170.0 können node-opcua-Clients, die die Standardeinstellung keepSessionAlive verwenden, in einen wiederkehrenden Wiederherstellungszyklus geraten, wenn Clock-Skew auf dem OPC UA-Server zu BadInvalidTimestamp-Antworten führt. ClientSessionKeepAliveManager._ping_server behandelte vom Server stammende ServiceFault-Nachrichten als Netzwerkstörung und erzwang eine Transport-Wiederherstellung (Reconnect), während ClientTCP_transport._on_ACK_response nach einer fehlgeschlagenen HEL/ACK-Verhandlung socket.end() aufrufte und die Verbindung im Zustand FIN-WAIT-2 belassen konnte, wenn der Peer sie nicht schloss. Die Wiederholung dieses Verhaltens im keepAliveInterval führt zur Anhäufung von Dateideskriptoren und Speicherressourcen, bis der Client-Prozess oder Container aufgrund von Ressourcenerschöpfung beendet werden muss. Dieses Problem wurde in Version 2.170.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.