Autorização ausente no OpenPLC_V3

A vulnerabilidade CVE-2026-35063 no OpenPLCV3 permite que usuários autenticados com o papel 'user' escalem privilégios e obtenham acesso de administrador completo. A API REST do OpenPLCV3 verifica a presença de um token JWT, mas não valida o papel do usuário que o apresenta. Isso significa que um usuário com permissões limitadas pode excluir qualquer outro usuário, incluindo administradores, simplesmente especificando seu ID. Além disso, podem criar novas contas com o papel de administrador, comprometendo a segurança do sistema e permitindo o controle total sobre o PLC. A gravidade desta vulnerabilidade é alta, pois afeta diretamente a integridade e confidencialidade dos dados e a disponibilidade do sistema de controle.

Organizations utilizing OpenPLCV3 for industrial automation and control systems are at risk. Specifically, deployments with limited network segmentation or inadequate user access controls are particularly vulnerable. Systems relying on OpenPLCV3 for critical infrastructure processes face the highest potential impact.

• windows / supply-chain: Monitor PowerShell execution for commands related to user account management within the OpenPLC_V3 environment.

Get-WinEvent -LogName Security -Filter "EventID=4720" -ErrorAction SilentlyContinue | Where-Object {$_.Properties[0].Value -like "*OpenPLC*"}

• linux / server: Examine system logs (e.g., /var/log/auth.log) for unusual user creation or deletion events related to OpenPLC_V3.

journalctl | grep "useradd" | grep "OpenPLC"

• generic web: Check OpenPLC_V3 access logs for requests to the user management API endpoints, particularly those involving user creation or deletion. Look for requests originating from unexpected IP addresses or user agents.

grep "/api/user" /var/log/apache2/access.log

1. 2026-04-09Disclosure

   disclosure

1. Reservado2026-04-06
2. Publicada2026-04-09
3. Modificada2026-04-10
4. EPSS atualizado2026-04-17

A solução para mitigar CVE-2026-35063 é atualizar o OpenPLC_V3 para a versão 3.0.1 ou posterior. Esta versão corrige a falha de validação de papéis na API REST. Enquanto a atualização não for realizada, recomenda-se aplicar medidas de segurança adicionais, como restringir o acesso à API REST apenas a usuários autorizados e monitorar a atividade do sistema em busca de tentativas de acesso não autorizado. É crucial revisar e fortalecer as políticas de senhas e a autenticação multifator para reduzir o risco de acesso não autorizado. Deve-se implementar uma auditoria regular de usuários e permissões para garantir que apenas os usuários autorizados tenham acesso às funções críticas do sistema.