[분석가] 분석 — CVE-2026-63033

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

공격자는 네트워크를 통해 IEC 60870‑5‑104 I‑frame을 전송합니다. 프레임의 ASDU 헤더에 실제보다 큰 객체 수(object count)를 선언하면, 구현체의 InformationObject_ParseObjectAddress 함수가 힙 버퍼 끝을 1바이트 초과해 읽게 됩니다(Out‑of‑bounds read). 이 메모리 손상은 서비스 중단(Denial‑of‑Service)이나 추가적인 코드 실행 단계로 이어질 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 접근 가능하며(AV:N), 공격자는 별도의 권한이 필요 없고(PR:N) 사용자 상호작용도 요구되지 않으며(UI:N) 따라서

• 기술적 위험:

  • Out‑of‑bounds read에 의해 프로세스가 비정상 종료될 가능성이 높으며, CVSS 벡터의 A:L·C:L에 따라 가용성 저하와 제한적인 기밀 정보 노출이 발생할 수 있습니다.
  • 메모리 손상이 지속되면 공격자는 후속 ROP/코드 인젝션을 시도하여 원격 코드 실행(RCE)으로 확장될 위험이 존재합니다(추정).

• 비즈니스 영향:

  • IEC 60870‑5‑104는 전력·산업 자동화 SCADA 시스템에서 광범위하게 사용되므로, 해당 프로토콜을 구현한 장비가 서비스 중단 시 전력 공급 모니터링·제어에 차질이 발생할 수 있습니다.
  • 가용성 저하와 잠재적 데이터 누출은 규제 준수(NERC CIP, IEC 62351 등) 위반 위험을 높이며, 신뢰도 손실 및 운영 비용 상승으로 이어집니다.

• 영향 제품·노출 규모:

  • 현재 영향 제품이 “미상”이므로 정확한 벤더를 지정할 수 없지만, IEC 60870‑5‑104 프로토콜을 파싱하는 모든 소프트웨어/펌웨어가 해당 취약점에 노출될 가능성이 있습니다.

• 동일 프로토콜의 다른 메모리‑오버플로우(CWE‑125)와 결합하면, 초기 OOB 읽기 후 악성 페이로드를 삽입해 RCE 단계로 전이할 수 있습니다(추정).

• IEC 104 트래픽에서 ASDU 헤더의 object count 필드가 정상 범위(예: 표준 최대값)보다 크게 설정된 패킷을 로깅·경보합니다.
• 파싱 오류 로그에 “Object address out of bounds” 또는 유사한 예외 메시지가 기록되는 경우를 모니터링합니다.
• IDS/IPS 규칙 예시: iec104 && payload[object_count_offset] > MAX_ALLOWED (객체 수 초과 탐지).

1. 즉시 조치

   • 신뢰할 수 없는 네트워크(인터넷, 외부 파트너)로부터의 IEC 104 트래픽을 차단합니다(네트워크 레벨 방화벽 또는 애플리케이션‑게이트웨이).
   • 파싱 모듈에 객체 수 상한 검사를 추가하고, 초과 시 프레임을 폐기·로그 기록하도록 구현합니다.

2. 근본 해결

   • 벤더가 제공하는 보안 패치를 적용합니다(패치 배포 전까지는 위 입력 검증을 임시 방편으로 사용).
   • IDS/IPS에 객체 수 초과 시그니처를 업데이트하고, 정상적인 I‑frame 헤더와 비정상적인 ASDU 길이 불일치를 탐지하도록 설정합니다.

3. 운영 차원

   • IEC 104 장비의 펌웨어/소프트웨어 버전 관리 및 취약점 모니터링 프로세스를 강화합니다.
   • 보안 로그와 알림 체계를 정기적으로 검토하여 이상 징후를 조기에 파악합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None