CVE-2026-58080

Gdy serwer OPC UA buduje swoją konfigurację roboczą przy użyciu metody `copy()`, skonfigurowany `RoleMapper` nie jest kopiowany do nowej instancji. Sesje nawiązywane z tak skonstruowanym serwerem nie otrzymują żadnych identyfikatorów ról, a domyślny kontroler dostępu pomija sprawdzanie uprawnień opartych na rolach. W konsekwencji każdy anonimowy klient — o ile na serwerze dozwolone są sesje anonimowe — może ominąć całą warstwę kontroli dostępu opartą na rolach.

Atakujący bez uwierzytelnienia może odczytywać metadane uprawnień opartych na rolach, wywoływać chronione metody oraz usuwać chronione węzły serwera OPC UA, co stanowi zagrożenie dla integralności i poufności zarządzanych danych przemysłowych.

Należy zaktualizować Eclipse Milo do wersji wyższej niż 1.1.4, w której błąd został naprawiony (commit d51f03e9a75f313ab41c3d68d809f4b922073f1a). Do czasu aktualizacji zaleca się wyłączenie obsługi sesji anonimowych na serwerze OPC UA oraz — jeśli to możliwe — unikanie budowania konfiguracji serwera przez metodę `copy()`.

Eclipse Milo w wersjach od 1.0.0 do 1.1.4 — wyłącznie serwery, które konfigurują mechanizm RoleMapper i budują aktywną konfigurację za pomocą metody `OpcUaServerConfig.copy()`.

Podatność dotyczy tylko scenariuszy, w których jednocześnie skonfigurowany jest RoleMapper oraz konfiguracja serwera budowana jest przez `OpcUaServerConfig.copy()`. Serwery nieprzechodzące przez tę metodę kopiowania lub nieużywające sesji anonimowych nie są narażone.