node-opcua: kwetsbaarheid voor resource-uitputting via keepalive-herverbindingslus (CVE-2026-68904)

Wat is er gebeurd

node-opcua-clients die de standaardinstelling keepSessionAlive gebruiken, kunnen in een herhaalde herverbindingslus terechtkomen wanneer ze verbonden zijn met een OPC UA-server die klokverschil vertoont. Dat klokverschil zorgt ervoor dat de server BadInvalidTimestamp-reacties stuurt, die de keepalive-logica van de client ten onrechte interpreteert als een netwerkstoring in plaats van een door de server veroorzaakte fout.

Technische oorzaak

De oorzaak ligt in de samenwerking tussen twee onderdelen. ClientSessionKeepAliveManager._ping_server behandelt een door de server veroorzaakte ServiceFault (het gevolg van de BadInvalidTimestamp-situatie) alsof het een netwerkstoring betreft, en forceert daardoor een herverbinding van de transportlaag. Daarnaast roept ClientTCP_transport._on_ACK_response socket.end() aan na een mislukte HEL/ACK-onderhandeling, waardoor de TCP-verbinding kan blijven hangen in de FIN-WAIT-2-status als de andere partij zijn kant niet sluit. Omdat deze reeks zich herhaalt bij elk ingesteld keepAliveInterval, stapelen file descriptors en geheugengebruik zich op.

Waarom dit belangrijk is

De classificatie is Uncontrolled Resource Consumption (CWE-400). Doordat sockets zich opstapelen in de FIN-WAIT-2-status en niet worden vrijgegeven, kan het clientproces of de omgeving waarin het draait uiteindelijk worden beëindigd door uitputting van resources. Dit kan leiden tot een denial of service voor toepassingen die voor OPC UA-connectiviteit afhankelijk zijn van node-opcua. De CVSS-vector beschrijft een lage impact op vertrouwelijkheid en integriteit, en een hoge impact op beschikbaarheid.

Wie wordt getroffen

Elke toepassing die de npm-pakketten node-opcua, node-opcua-transport of node-opcua-client gebruikt met de standaardinstelling keepSessionAlive, en die verbinding maakt met een OPC UA-server waarop klokverschil kan optreden dat BadInvalidTimestamp-reacties veroorzaakt, is mogelijk kwetsbaar.

Getroffen versies

Versies vanaf 2.0.0 tot (maar niet inclusief) 2.170.0 van node-opcua, node-opcua-transport en node-opcua-client zijn getroffen.

Oplossingen en mitigatie

Het probleem is verholpen in versie 2.170.0 van node-opcua, node-opcua-transport en node-opcua-client. In de beschikbare informatie wordt geen alternatieve mitigatie beschreven buiten het bijwerken naar deze versie.

Aanbevolen actie

Werk node-opcua en de bijbehorende pakketten (node-opcua-transport, node-opcua-client) bij naar versie 2.170.0 of hoger. Organisaties die niet direct kunnen updaten, doen er goed aan clientprocessen te controleren op een ongebruikelijke toename van open file descriptors of sockets die vastzitten in de FIN-WAIT-2-status, als indicator van dit probleem.