CVE-2026-54156 in node-opcua
要約
〜によって VulDB • 2026年09月14日
node-opcuaは、TypeScriptおよびNode.js向けのOPC UA実装です。バージョン2.166.0より前では、nonceAlreadyBeenUsedによって使用されるプロセスグローバルなg_alreadyUsedNonceキャッシュが、OpenSecureChannelRequestおよびCreateSessionからのノンスを期限切れやサイズ制限なしで記録していました。認証不要の攻撃者は、一意のノンスを使用してセッションを繰り返し作成でき、maxSessions=10で同時接続数が制限されていても、セッションの有効期間終了後もエントリが残存し、コネクションサイクルを通じて蓄積します。その結果、無制限なヒープ成長によりデフォルトのNode.jsヒープが枯渇し、node-opcuaサーバープロセスがクラッシュする可能性があります。この問題はバージョン2.166.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.