Múltiples vulnerabilidades de seguridad detectadas en Eclipse Milo

Una serie de seis vulnerabilidades de seguridad ha sido confirmada en las versiones de Eclipse Milo, un toolkit fundamental para la implementación del estándar OPC UA. Estas fallas, reportadas a CISA por Abhinav Agarwal, afectan a las versiones desde la 0.6.0 hasta la 1.1.4 y podrían permitir a un atacante eliminar datos protegidos, recuperar credenciales de usuario, suplantar a usuarios legítimos o inhabilitar la respuesta del servidor a los clientes.

Las vulnerabilidades identificadas son:

• CVE-2026-62927: Clasificada como ALTA (CVSS v3.1 7.5, CVSS v4.0 8.7). Un error de autorización incorrecta en el servicio Call permite la ejecución de métodos denegados al agruparlos con métodos permitidos, afectando a las versiones 1.0.0 a 1.1.4.
• CVE-2026-63252: Clasificada como ALTA (CVSS v3.1 7.5, CVSS v4.0 8.7). Fallo en la liberación de chunks de mensajes parciales retenidos al desconectarse un canal UASC del servidor, lo que puede agotar la memoria directa agrupada y terminar el servidor, afectando a las versiones 0.6.0 a 1.1.4.
• CVE-2026-58080: Clasificada como ALTA (CVSS v3.1 8.2, CVSS v4.0 8.8). La función OpcUaServerConfig.copy() no conserva la configuración de RoleMapper, permitiendo a clientes anónimos ejecutar métodos protegidos o eliminar nodos, en versiones 1.0.0 a 1.1.4.
• CVE-2026-63248: Clasificada como MEDIA (CVSS v3.1 6.5, CVSS v4.0 6.9). Los nodos de diagnóstico del servidor OPC UA no aplican la autorización de acceso, permitiendo a un cliente anónimo leer diagnósticos de seguridad de otras sesiones activas y exponer datos sensibles como nombres de usuario e historial de inicio de sesión, en versiones 0.6.0 a 1.1.4.
• CVE-2026-60007: Clasificada como ALTA (CVSS v3.1 7.4) y CRÍTICA (CVSS v4.0 9.1). Un atacante puede recuperar contraseñas de usuarios mediante un padding oracle attack debido a errores distinguibles en el procesamiento de username-token, en versiones 0.6.0 a 1.1.4.
• CVE-2026-61387: Clasificada como MEDIA (CVSS v3.1 5.3, CVSS v4.0 6.9). Un error en la contabilidad de cuotas de elementos monitorizados puede ser explotado para agotar la cuota global e impedir la creación de nuevos ítems hasta el reinicio del servidor, en versiones 1.0.0 a 1.1.4.

La Eclipse Foundation recomienda a los usuarios actualizar a Eclipse Milo 1.1.5 para resolver estas vulnerabilidades. Para los usuarios de la serie 0.6.x, no existen versiones corregidas dentro de esa rama, por lo que se requiere migrar a Eclipse Milo 1.1.5 o posterior. Dada la implementación global de Eclipse Milo en sectores de infraestructura crítica como el químico, la manufactura, la energía y el agua, la aplicación de estas actualizaciones es fundamental para mantener la integridad y la disponibilidad de los sistemas de control industrial.