node-opcua 네임스페이스 기본 권한 우회로 익명 쓰기·호출 가능
산업 장비 통신 라이브러리에서 잠긴 값을 누구나 바꿀 수 있습니다!
요약
node-opcua의 네임스페이스 기본 권한 설정이 실제 접근 검사에 적용되지 않아, 인증하지 않은 원격 클라이언트가 변수를 쓰거나 메서드를 호출할 수 있습니다. 2.42.0 이상 2.180.0 미만 버전이 해당하며, 운영자가 제한 정책을 설정하고 상속에 의존한 서버가 영향을 받습니다.
해당 조건
- 네임스페이스 기본 권한(setDefaultRolePermissions)을 설정함
- 노드별 권한 없이 기본 권한을 상속함
대처법
2.180.0 버전으로 업데이트하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인