[단독공격] 분석 — CVE-2026-63550

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 공격 표면: TCP 102 포트에서 동작하는 MMS (Manufacturing Message Specification) 서비스의 BER 디코더. 특히 confirmed-request 메시지 안에 포함된 특정 필드가 대상.
• 전제 조건
  • 네트워크 접근 권한이 있어 해당 호스트와 TCP 102 연결을 수립할 수 있음(PR:L, UI:N).
  • MMS 세션 핸드쉐이크를 정상적으로 마쳐야 디코더가 입력을 받아들임.
• 단계
  1. 정찰 – 포트 스캔·프로토콜 버전 확인으로 MMS 서비스 존재 여부 파악.
  2. 초기 접근 – 정상적인 MMS 핸드쉐이크(Association Request/Response)로 세션을 연다(네트워크 기반, AV:N).
  3. 실행 – confirmed-request 메시지에 악의적으로 조작된 BER‑encoded element를 삽입. 이 요소는 길이와 태그가 정상 범위를 초과하도록 구성해 디코더 내부 읽기 포인터를 잘못 전진시킨다(AC:L).
  4. 영향 – 디코더가 힙 영역을 벗어나 읽게 되면서 예외가 발생하고 MMS 처리 프로세스가 비정상 종료한다(A:H). 서비스 가용성이 상실돼 DoS가 실현된다.
• 공격 원리: 메모리‑Corruption(CWE‑??) 유형의 경계 검사 부재를 이용한 힙 OOB read. 코드 실행은 없으며, 프로세스 충돌만 발생한다.
• 연관 CVSS 요소 매핑: AV:N·AC:L·PR:L·UI:N·S:U·C:N·I:N·A:H와 동일하게 네트워크 직접 접근이 가능하고 복잡도 낮으며 권한 요구가 낮은 상황을 가정한다.

악용 가능성: AV:N (네트워크 원격)으로 취약점은 TCP 102번 포트에서 서비스되는 MMS 엔드포인트에 누구나 접근할 수 있음을 의미합니다. AC:L (낮은 복잡도)은 BER‑인코딩된 요소를 특수하게 구성해 전송하기만 하면 되며, 별도의 암호 해독이나 복잡한 환경 설정이 필요 없다는 점을 반영합니다. PR:L (저권한)과 UI:N (사용자 개입 없음)은 공격자가 인증이 요구되는 경우에도 낮은 권한의 계정으로 세션을 수립하면 추가적인 사용자 행동 없이 바로 악용할 수 있음을 나타냅니다. EPSS가 현재 제공되지 않고 KEV에 등재되지 않았다는 점은 실제로 보고된 공격 사례가 거의 없지만, 네트워크 접근성·복잡도 · 권한 요구도가 낮아 이론적 위험이 실전에서도 충분히 성립할 가능성을 시사합니다. 트리거 조건은 MMS 세션(확인‑요청 메시지) 내 특정 필드에 조작된 BER‑encoded 요소가 포함될 때이며, 해당 요소가 디코더의 경계 처리 로직을 오도해 힙 out‑of‑bounds 읽기를 유발합니다. 따라서 공격 표면은 “MMS confirmed‑request 메시지 → BER 필드 파싱 함수”로 한정되며, 이 경로만 확보하면 서비스 중단(DoS) 효과를 바로 얻을 수 있습니다.

• 성공 시 MMS 서비스 프로세스가 강제 종료되어 해당 장비(PLC, SCADA 등)의 실시간 데이터 교환이 중단된다.
• 시스템 전체 가용성 저하로 생산 라인 정지·안전 제어 로직 비활성화 위험이 존재한다.

• 유형: 메모리‑Corruption(CWE‑??) → OOB read → 서비스 중단(DoS).
• 추정: 동일 프로토콜 스택 내 다른 파싱 로직에 대한 경계 검증 부재가 존재한다면, 추가적인 confirmed-response 혹은 inform-request 메시지에서도 유사한 OOB write/exec 가능성이 있다.
• 체이닝 패턴:
  1. DoS를 이용해 보안 모니터링·로그 수집을 방해 → 후속 침투 시 탐지를 회피.
  2. 서비스 재시작 과정에서 초기화되지 않은 메모리 영역에 대한 취약점(예: CWE‑416, Use‑After‑Free)이 존재한다면, 재시작 직후 추가적인 코드 실행 체인으로 연결될 수 있다.

• IDS/IPS 로그에 비정상적인 BER 파싱 오류 또는 “MMS decoder out‑of‑bounds read”와 같은 예외 메시지가 기록됨.
• 시스템 로그에서 MMS 프로세스가 급작스럽게 종료되고 재시작 루프를 보이는 패턴.
• 네트워크 트래픽 분석 시 짧은 시간에 다수의 confirmed-request 패킷이 비정상적인 길이/태그 필드를 포함하고 전송되는 경우.

1. 즉시 차단 – 신뢰되지 않은 외부 네트워크에서 TCP 102 포트 접근을 방화벽으로 차단하거나, VLAN·ZTA를 이용해 내부망에 제한.
2. 패치 적용 – 벤더가 제공하는 MMS 디코더 업데이트(경계 검사 강화) 또는 라이브러리 교체가 나오면 즉시 배포.
3. 입력 검증 강화 – 애플리케이션 레벨에서 BER 요소 길이와 태그를 엄격히 검증하도록 구성하고, 비정상적인 파싱 오류 발생 시 연결을 즉시 종료하도록 로직 추가.
4. 모니터링 – 위 탐지 지표를 기반으로 SIEM에 알림 룰을 설정하고, 프로세스 비정상 종료 시 자동 복구 스크립트를 운영한다.

본 리포트는 다중 소스 교차검증(“다중 소스에서 일관성이 확인됐다”)·실측 EPSS 조회(EPSS = 미확보)·규칙 기반 우선순위 결정(“CVSS 6.5·non‑KEV·exploit moderate·in_scope=None”에 따라 이번 주 내 scheduled 대응) 절차를 거쳐 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None