🇰🇷 한글 설명
OpenPLC Runtime v3의 /upload-program-action 엔드포인트에서 입력값 검증 미흡으로 인해 epoch_time 필드가 조작될 수 있습니다. 악의적으로 조작된 데이터가 업로드되면 프로그램 데이터베이스가 손상되며, 시스템 재시작 시 서비스가 시작되지 않는 지속적인 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
프로그램을 업로드할 때 시간을 나타내는 값을 조작하여 데이터베이스를 망가뜨릴 수 있는 취약점입니다. 이로 인해 장비를 다시 켜려고 하면 시스템이 작동하지 않아 초기화가 필요할 수 있습니다.
🇺🇸 원문 (English)
OpenPLC Runtime v3 contains an input validation flaw in the /upload-program-action endpoint: the epoch_time field supplied during program uploads is not validated and can be crafted to induce corruption of the programs database. After a successful malformed upload the runtime continues to operate until a restart; on restart the runtime can fail to start because of corrupted database entries, resulting in persistent denial of service requiring complete rebase of the product to recover. This vulnerability was remediated by commit 095ee09.
📍 영향받는 시스템
OpenPLC Runtime v3
⚔️ 공격 벡터
프로그램 업로드 시 /upload-program-action 엔드포인트를 통해 조작된 epoch_time 값 전송
🛡️ 대응 방법
커밋 095ee09가 적용된 최신 버전으로 업데이트 또는 패치 적용
🔧 검증 코드
명령어 결과가 'Patched'이면 수정된 버전이며, 'Vulnerable'이면 취약한 버전입니다.
git log -1 --format=%H | grep -q 095ee09 && echo 'Patched' || echo 'Vulnerable'