CVE-2026-90782 — Dereferenziazione NULL da Status-Clobbering in S2OPC

Proof-of-concept autonomo per CVE-2026-90782 in S2OPC (Safe & Secure OPC).

Vulnerabilità

In alloc_notification_message_items() (S2OPC 1.7.3 e precedenti):

• Una singola variabile status condivisa viene utilizzata sia per le allocazioni DataChange che per quelle Event.
• Se l'allocazione DataChange fallisce (restituisce OOM / non-OK) ma la successiva allocazione Event riesce, status viene sovrascritto con SOPC_STATUS_OK.
• Il controllo post-loop passa quindi e il codice dereferenzia il puntatore dataChangeNotif ancora NULL → dereferenziazione NULL / crash.

Build & Run

gcc -o s2opc_poc reproducer.c

# Test 1 — both allocations succeed (no crash)
./s2opc_poc 1

# Test 2 — vulnerable path: DataChange fails, Event succeeds → NULL deref (crash)
./s2opc_poc 2

# Test 3 — fixed path: independent status tracking, no crash
./s2opc_poc 3

# Test 4 — control: data-only (no Event alloc to clobber status)
./s2opc_poc 4

Consigliato con AddressSanitizer:

gcc -fsanitize=address -g -o s2opc_poc reproducer.c
./s2opc_poc 2

Correzione

Tracciare gli stati di allocazione in modo indipendente e uscire anticipatamente / saltare la dereferenziazione quando l'allocazione DataChange fallisce. Rispecchia il pattern nel commit 8848f051.

File

• reproducer.c — rispecchia la logica di allocazione vulnerabile e corretta