CVE.futuretools
Справка
NVD NIST
CVE-2026-110021

Missing GSDX SignatureValue verification

CVSS 3.1Medium
6.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
PLCnext Engineer 2026.6.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

PLCnext Engineer проверяет дайджесты ссылок манифеста GSDX, но не выполняет криптографическую проверку XML SignatureValue для SignedInfo. Дефект позволяет локальному неаутентифицированному злоумышленнику импортировать модифицированное описание устройства под видом валидного.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Атакующий может изменить подписанное содержимое GSDML, обновить его дайджест в манифесте, сохранить данные открытого сертификата и оставить недействительный непустой SignatureValue. Версии PLCnext Engineer до 2026.6 помечают такой пакет как Valid и выбирают модифицированное описание устройства для импорта в рамках политики по умолчанию.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Принятие модифицированного пакета GSDX со статусом Valid и импорт поддельного описания устройства при настройках по умолчанию.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-110021: Missing GSDX SignatureValue verification. URL: https://cve.futuretools.ru/cve/CVE-2026-110021
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_110021,
  title = {{CVE-2026-110021: Missing GSDX SignatureValue verification}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-110021}},
  note = {Оперативный инженерный анализ киберугроз}
}