CVE-2026-90782 — Затирание статуса и разыменование NULL в S2OPC

Автономный proof-of-concept для CVE-2026-90782 в S2OPC (Safe & Secure OPC).

Уязвимость

В alloc_notification_message_items() (S2OPC 1.7.3 и более ранние версии):

• Одна общая переменная status используется как для выделения памяти под DataChange, так и под Event.
• Если выделение под DataChange завершается неудачей (возвращается OOM / не-OK), но последующее выделение под Event succeeds, status перезаписывается значением SOPC_STATUS_OK.
• После этого проверка после цикла проходит, и код разыменовывает всё ещё NULL-указатель dataChangeNotif → разыменование NULL / падение.

Сборка и запуск

gcc -o s2opc_poc reproducer.c

# Test 1 — both allocations succeed (no crash)
./s2opc_poc 1

# Test 2 — vulnerable path: DataChange fails, Event succeeds → NULL deref (crash)
./s2opc_poc 2

# Test 3 — fixed path: independent status tracking, no crash
./s2opc_poc 3

# Test 4 — control: data-only (no Event alloc to clobber status)
./s2opc_poc 4

Рекомендуется с AddressSanitizer:

gcc -fsanitize=address -g -o s2opc_poc reproducer.c
./s2opc_poc 2

Исправление

Отслеживайте статусы выделения памяти независимо и выполняйте ранний выход / пропускайте разыменование, когда выделение под DataChange завершилось неудачей. Повторяет шаблон из коммита 8848f051.

Файлы

• reproducer.c — повторяет уязвимую и исправленную логику выделения памяти