[공격] 분석 — CVE-2026-56758

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 전제 조건

  • 공격자는 대상 시스템과 동일한 LAN 또는 VLAN 등 인접 네트워크(AV:A) 에 존재해야 함.
  • MMS 서비스가 TCP 102(또는 구현체가 지정한 포트)에서 수신 대기 중이어야 함. 인증 필요 없음(PR:N), 사용자 개입도 없음(UI:N).

• 정찰

  • 네트워크 스캔으로 MMS 포트를 탐지하고, 프로토콜 핸드쉐이크(ISO‑TSAP → ACSE) 흐름을 관찰한다.
  • 정상 AARQ PDU 구조와 calling AP title 필드 길이(보통 > 2)를 파악한다.

• 초기 접근

  • MMS 연결 요청(Association Request) 후, 공격자는 정상적인 세션을 수립하거나 바로 AARQ 단계로 진입할 수 있다.

• 실행·권한 획득

  • calling AP title 길이 필드에 0 또는 1 을 설정하고, 뒤이어 임의의 바이트 스트림을 삽입한다.
  • 파서가 해당 길이를 기반으로 버퍼를 읽어 힙 끝을 초과하게 되며, 메모리 오염(Out‑of‑Bounds Read) 발생 → 서비스 중단 혹은 잠재적 코드 실행 가능성(Availability Impact High).

• 지속·영향

  • 현재 알려진 변형은 Denial‑of‑Service 수준이며, 메모리 손상이 복구되지 않은 상태에서 반복 공격 시 시스템 재시작을 유도한다.
  • 추가적인 권한 상승이나 원격 코드 실행은 별도의 취약점(예: 동일 프로세스 내 다른 버퍼 오버플로우)과 결합될 경우 가능성이 있다.

• 공격 표면

  • MMS TCP 포트 (기본 102) → ACSE 레이어 → AARQ PDU → calling AP title 길이 필드.

악용 가능성: 공격자는 MMS 연결 설정 시 전송되는 AARQ PDU의 calling‑AP‑title 필드에 길이 값을 0 또는 1로 조작할 수 있는 네트워크 접근 권한만 있으면 됩니다(AV:A, PR:N). 해당 필드는 인접 LAN이나 산업용 제어망에서 직접 노출되며, 인증 절차가 없으므로 UI가 필요하지 않아 공격 전개가 즉시 가능합니다(UI:N). 취약점은 길이 값 검증 오류로 인해 파서가 힙 버퍼 끝을 넘어 읽게 되므로, 메모리 손상까지 이어지는 조건만 충족하면 낮은 난이도(AC:L)로 코드 실행 가능성이 열립니다. 그러나 실제 exploitation을 위해서는 정확히 조작된 AARQ PDUs를 전송해야 하며, 일반적인 OPC UA·Modbus 등 다른 프로토콜에서는 해당 PDU가 노출되지 않으므로 공격 표면은 MMS‑only에 국한됩니다. KEV 리스트에 포함되지 않고 EPSS 점수가 제공되지 않은 점은 현재까지 보고된 실전 악용 사례가 거의 없음을 의미하지만, 인접 네트워크에서의 무인 접근 가능성 때문에 중간 수준(moderate) 위험 등급이 부여되었습니다. 따라서 공격 난이도는 “낮음”에 가깝지만, 실제 위협성은 노출된 MMS 엔드포인트가 존재하는 환경에서는 충분히 실현될 수 있습니다.

• 성공 시 힙 버퍼 오버플로우가 발생해 프로세스 크래시 및 서비스 가용성 상실(DoS)이 일어남.
• 현재 보고된 바에 따르면 권한 상승이나 데이터 유출은 직접적으로 연결되지 않는다.

• CWE‑119 / CWE‑787 (버퍼 경계 검증 부재)와 동일 계열의 메모리 손상 결함이 다른 MMS/ACSE 구현에 존재할 경우, 초기 DoS를 이용해 시스템을 불안정하게 만든 뒤 코드 실행 취약점(CWE‑20 등)과 연계 가능성 있음.
• 추정: 동일 프로세스 내 다른 서비스가 메모리 할당 정보를 공유한다면, 힙 오염 후 Use‑After‑Free 혹은 Heap Spraying 기법을 적용해 원격 코드 실행으로 이어질 수 있다.

• MMS 트래픽 로그에서 AARQ PDU의 calling AP title length ≤ 1 이면서 전체 PDU 길이가 정상 최소값(> 5 bytes)보다 큰 경우를 경보로 설정.
• 파서 오류·버퍼 오버런 이벤트가 시스템 로그에 기록될 때, 해당 세션 IP와 타임스탬프를 SIEM에 연동하여 비정상적인 연결 시도 탐지.

1. 즉시 조치: 인접 네트워크에서 MMS 포트(102)로 들어오는 트래픽을 차단하거나, IPS/IDS에서 calling AP title length ≤ 1 패턴을 차단한다.
2. 코드 레벨 검증: 애플리케이션에 AP title 길이와 UTF‑8 인코딩 검사를 삽입해 파서 전 단계에서 필터링한다.
3. 패치 적용: 벤더가 제공하는 보안 업데이트가 배포되는 즉시 적용한다.
4. 모니터링 강화: 위 탐지 규칙을 SIEM에 추가하고, 오류 발생 시 자동 알림 및 세션 차단 정책을 연계한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None