CVE-2026-54155 in node-opcua
요약
\~에 의해 VulDB • 2026. 09. 14.
node-opcua는 TypeScript 및 Node.js용 OPC UA 구현체입니다. 버전 2.166.0 이전에서는 packages/node-opcua-server/source/opcua_server.ts의 UserNameIdentityToken 인증 처리기가 RSA-OAEP 암호화 비밀번호 덤프를 복호화하지만, 후행 바이트가 현재 세션 서버 nonce와 일치하는지 검증하지 않습니다. 비인증 원격 공격자는 GetEndpoints를 통해 서버 공개 키를 획득하고, 리틀 엔디안 길이가 isValidUser에 전달되는 빈 비밀번호로 이어지는 덤프를 위조하여 빈 비밀번호를 허용하는 계정을 침해할 수 있습니다. 또한 nonce 바인딩 누락으로 인해 캡처된 UserNameIdentityToken 암호문이 다른 세션에서 재재생될 수 있으며, SecurityMode=None은 별도의 클라이언트 서명 보호 장치를 제거합니다. 이 문제는 버전 2.166.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.