[분석가] 분석 — CVE-2026-66369

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 인증이 필요 없는 L2 멀티캐스트 GOOSE 프레임을 단일 패킷으로 전송한다.
• 파서는 특정 필드 처리 시 버퍼 포인터를 1바이트 과다 이동시켜 힙 영역을 읽게 된다(오프‑바이‑원).
• 결과적으로 구독자 프로세스가 비정상 종료되어 서비스가 중단된다.

악용 가능성: 이 취약점은 인접 네트워크(AV:A) 수준에서 공격자가 동일 LAN·프로세스 버스에 접속하기만 하면 이용할 수 있습니다. 복잡도는 낮으며(AC:L) GOOSE 메시지의 특정 필드값만 올바르게 구성하면 되므로, 별도의 권한(PR:N)이나 사용자 동작(UI:N)이 필요하지 않습니다. 실제로는 단일 인증되지 않은 레이어‑2 멀티캐스트 프레임을 전송함으로써 파서가 버퍼 위치를 오프셋 한 칸씩 잘못 이동시켜 힙 외부를 읽게 만들고, 구독자 프로세스가 비정상 종료되는 서비스 거부(DoS) 상태가 발생합니다. EPSS 점수가 제공되지 않았지만, CVSS 벡터가 나타내는 낮은 난이도와 무특권·무사용자 조건을 고려하면 실제 위협 가능성은 충분히 존재합니다. 현재 KEV 목록에 등재되지 않아 야생 악용 사례는 보고되지 않았으나, 프로세스 버스에 연결된 모든 IEC 61850‑준수 장비가 동일한 파싱 로직을 공유하므로 공격 표면은 해당 GOOSE 파서를 구현하는 엔드포인트 전체로 확대됩니다. 따라서 인접 네트워크에 존재하는 공격자는 최소한의 준비만으로도 서비스 중단을 유발할 수 있는 실용적인 위협 시나리오를 구성할 수 있습니다.

• 기술적 위험: 힙 오버플로우에 의한 서비스 거부(DoS) 가 발생한다. 메모리 손상이 프로세스 크래시를 일으키며, 현재 알려진 바에 따르면 권한 상승이나 데이터 유출은 없다.
• 비즈니스 리스크:
  • 전력 자동화·제어 시스템에서 GOOSE 메시지는 실시간 보호 동작에 필수이므로, 해당 프로세스가 중단될 경우 전력 설비 가용성 저하 및 규제·컴플라이언스 위반 위험이 존재한다.
  • 영향 제품은 현재 공개되지 않았으나 “GOOSE 파서를 포함하는 IEC 61850 기반 장비”에 적용될 가능성이 있다(※추정).
• 노출 규모: 프로세스 버스 상에서 L2 멀티캐스트를 수신할 수 있는 모든 장치가 대상이며, 네트워크 경계 내에 존재하는 경우 전파 위험이 있다.
• 다중 소스에서 일관성이 확인됐으며 EPSS는 현재 제공되지 않아 실측 악용 가능성은 추정 수준이다.

• 동일 IEC 61850 스택에서 보고된 메모리 손상 취약점(CWE‑124 등)과 연계될 경우, 초기 DoS 후 추가적인 코드 실행이나 권한 상승으로 확장될 가능성이 있다(현 단계에서는 확인되지 않음).

• 네트워크 레벨: 프로세스 버스 상에서 비정상적인 단일 GOOSE 멀티캐스트 프레임(예: EtherType 0x88B8, 목적 MAC이 01‑0C‑CD‑01‑xx‑xx) 수신 시 경보.
• 호스트 레벨: 구독자 프로세스 비정상 종료 로그 또는 핵심 덤프 발생 시 알림.
• 탐지 시그니처 예시(간략): eth.type == 0x88b8 && eth.dst[0:3] == 01:0c:cd && ip.length < expected_min

1. 즉시 조치
   • 스위치 포트에서 GOOSE 멀티캐스트(IEC 61850 표준 MAC) 수신을 차단하거나 제한한다.
   • 해당 인터페이스에 MAC‑based ACL 또는 레이트리밋 적용으로 비정상 프레임 전송을 방지한다.
2. 근본 해결
   • 공급업체가 제공하는 최신 펌웨어/패치를 신속히 배포하여 파서의 경계 처리 오류를 수정한다.
   • 패치 적용 여부를 CI/CD 파이프라인에 자동 검증 단계로 포함시켜 재발을 방지한다.
3. 운영 차원
   • 프로세스 버스 트래픽 로그 수집 및 이상 탐지를 위한 IEC 61850 전용 IDS 룰을 배포한다.
   • 이번 주 내(‘scheduled’) 대응 일정에 따라 패치 검증·배포와 네트워크 방어 정책 적용을 동시에 진행한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None