Dans node-opcua, les permissions par défaut configurées au niveau d’un espace de noms pouvaient ne pas être appliquées aux nœuds dépourvus de permissions explicites, laissant l’accès permissif. Un client réseau anonyme pouvait alors écrire certaines variables ou appeler des méthodes malgré une politique restrictive ; mettez à niveau vers 2.180.0.
Source : NVD — CVE-2026-95860
Analyse technique
Le contournement concerne les serveurs où une politique restrictive est définie par `setDefaultRolePermissions` et où l’application compte sur son héritage pour les nœuds sans permissions explicites. Les nœuds avec permissions explicites et les métadonnées programmatiques correctement liées ne sont pas concernés par ce scénario.
Impact, versions et correctif
Détection / vérification
Vérifier si le serveur utilise setDefaultRolePermissions pour définir des permissions par défaut au niveau d’un namespace sans permissions explicites par nœud.
Action recommandée
Mettre à niveau node-opcua vers 2.180.0 ou ultérieure. Vérifier également que les nœuds sensibles disposent de permissions explicites et que les permissions par défaut configurées sont effectivement appliquées.
Sources
Priorisation DFS : P3 · 1 source(s).