[방어] 분석 — CVE-2026-66364

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

공격자는 프로세스 버스에 존재하는 Layer 2 멀티캐스트 주소로 GOOSE 프레임을 전송한다. 페이로드 내 특정 필드의 내부 길이가 외부 길이를 초과하도록 조작하면 파서가 1바이트를 오버리드하고, 이는 구독자 프로세스의 비정상 종료(DoS)로 이어진다. 인증이나 추가 권한이 필요 없으며, 단일 프레임만으로 트리거된다.

악용 가능성: 이 취약점은 CVSS v3.1 벡터 AV:A/AC:L/PR:N/UI:N 로 평가되었으며, 실제 공격 전제조건에 바로 대응합니다. AV:A는 공격자가 물리적·네트워크 레이어 2(예: IEC 61850 프로세스 버스) 상에서 멀티캐스트 프레임을 송신할 수 있으면 된다는 의미이며, 별도의 원격 접근이 필요하지 않습니다. AC:L 은 페이로드 길이를 조작하는 단일 프레임만 전송하면 되므로 구현 난이도가 매우 낮고, 자동화된 스크립트로도 충분히 수행됩니다. PR:N 과 UI:N 은 인증·사용자 상호작용이 전혀 요구되지 않으므로 공격자는 일회성 전송으로 바로 효과를 얻을 수 있습니다. EPSS 값은 현재 제공되지 않아 실시간 악용 확률을 정량화하기 어렵지만, KEV(가장 위험한 취약점) 리스트에도 등재되지 않았으므로 대규모 자동화 공격보다는 특정 목표에 한정된 맞춤형 DoS 시나리오가 주된 위협으로 판단됩니다. 트리거 조건은 GOOSE payload 파서가 내부 요소 길이를 검증하지 못하는 경계 처리 결함이며, 노출되는 공격 표면은 IEC 61850‑MMS·GOOSE 프로토콜을 사용하는 모든 레이어 2 스위치·시스템의 멀티캐스트 프레임 수신 엔드포인트와 해당 페이로드 필드가 됩니다. 따라서 단일 비인증 멀티캐스트 패킷만으로도 구독자 프로세스가 강제 종료되는 서비스 거부(DoS) 상태를 유발할 수 있습니다.

성공 시 대상 IEC 61850 스택을 사용하는 보호 장비·SCADA 시스템에서 libiec61850 라이브러리를 이용하는 프로세스가 강제 종료되어 서비스 가용성이 상실된다. 데이터 무결성이나 권한 상승은 발생하지 않으며, 주된 위험은 운영 중단이다.

• 동일 라이브러리의 이전 메모리‑오버플로우(CWE‑125)와 결합하면 원격 코드 실행으로 확장될 가능성이 있다(구체적 CVE 번호는 확인되지 않음).
• GOOSE 트래픽을 필터링하지 않는 네트워크 장비에서 발생하는 DoS를 이용해 추가적인 서비스 거부 공격과 연계할 수 있다.

로그 지표

1. 시스템 로그 /var/log/syslog 혹은 journald에 “libiec61850: fatal error – out‑of‑bounds read”와 같은 메시지가 기록될 경우.
2. 프로세스 모니터링 툴(e.g., systemd, supervisor)에서 해당 구독자 서비스가 비정상 종료(exit code 1)한 이벤트.
3. 네트워크 IDS/IPS 로그에 “GOOSE malformed length” 혹은 “IEC61850 GOOSE payload over‑read”와 같은 알림.

SIEM 탐지 규칙 예시

• 규칙 1 – 프로세스 종료 감시

  text복사

   1source = syslog
   2where message contains "libiec61850" and message matches /out[-]of[-]bounds read/
   3group by host, process_name
   4alert if count() > 0 within 5m

• 규칙 2 – GOOSE 패킷 이상 징후 (IDS 로그)

  text복사

   1source = ids_alert
   2where protocol == "GOOSE"
   3  and payload_length_field > enclosing_length_field
   4alert once per src_mac within 1m

• 규칙 3 – 서비스 비정상 종료 (process monitor)

  text복사

   1source = process_monitor
   2where service_name == "iec61850-subscriber"
   3  and exit_status != 0
   4alert if count() >= 1 within 2m

오탐 튜닝

• 규칙 1은 정상적인 라이브러리 디버그 메시지와 혼동될 수 있으므로, severity = "critical" 필드가 포함된 경우에만 알림을 발생하도록 제한한다.
• 규칙 2는 GOOSE 프레임 자체의 길이 불일치가 허용되는 테스트 환경에서 발생할 수 있다. 테스트 VLAN에서는 src_mac in [known_test_macs] 조건을 추가해 제외한다.
• 규칙 3은 정상적인 재시작(예: 시스템 업데이트 후)과 구분하기 위해 restart_reason == "update"인 경우 알림을 억제한다.

즉시(긴급 차단)

• 스위치 레벨에서 해당 GOOSE 멀티캐스트 MAC 주소(예: 01‑0C‑CD‑01‑00‑01)로 들어오는 모든 L2 프레임을 ACL로 차단하고, 신뢰된 장비만 허용한다.
  • 난이도: 낮음 (스위치 관리 콘솔에서 한 줄 명령).
  • 운영 영향: GOOSE 트래픽을 필요로 하는 보호 장비가 정상 동작하지 않을 수 있으므로, 차단 대상 MAC을 정확히 식별하고 테스트 후 적용한다.
  • 검증: 차단 적용 후 tcpdump -e -i <iface> ether host <multicast_mac> 명령으로 트래픽이 사라졌는지 확인.

단기(완화)

• libiec61850 로깅 레벨을 WARN 이상으로 낮추고, 파서 오류 발생 시 자동 재시작 스크립트를 배포한다.

  • 난이도: 중간 (애플리케이션 설정 파일 수정 및 systemd 서비스 파일 편집).
  • 운영 영향: 로그량 감소와 짧은 복구 시간 제공, 다만 재시작 시 일시적 서비스 중단 존재.
  • 검증: 오류 발생 후 systemctl status iec61850-subscriber 로 상태 확인 및 재시작 기록 검토.

• 네트워크 IDS에 위 규칙 2를 적용해 실시간으로 malformed GOOSE 프레임을 차단한다.

  • 난이도: 중간 (IDS 정책 업데이트).
  • 운영 영향: 정상적인 변형 GOOSE 메시지가 있을 경우 오탐 가능성, 튜닝 필요.
  • 검증: IDS 로그에 “blocked malformed GOOSE” 이벤트가 기록되는지 확인.

근본(해결)

• libiec61850를 1.6.2 이상 버전으로 업그레이드한다. 해당 버전에서는 경계 검사가 강화되어 오버리드가 발생하지 않는다.
  • 난이도: 높음 (패키지 교체, 종속성 확인, 재배포 절차).
  • 운영 영향: 서비스 재시작 필요, 테스트 환경에서 호환성 검증 후 프로덕션에 적용.
  • 검증: 업그레이드 후 동일 조건의 GOOSE 프레임을 전송해도 프로세스가 정상 유지되는지 기능 테스트 수행.

잔여 리스크
패치 적용 전까지는 위 긴급 차단·IDS 방어 조합으로 대부분의 DoS 시도를 억제할 수 있다. 그러나 공격자가 차단된 멀티캐스트 주소를 우회하거나, 다른 IEC 61850 라이브러리 구현에 동일한 결함이 존재한다면 여전히 서비스 가용성 위험이 남는다. 패치 적용 후에도 로그 기반 모니터링을 유지해 새로운 변형 공격을 탐지해야 한다.

인시던트 대응 플레이북

1. 알림 발생 → 해당 호스트의 journalctl -u iec61850-subscriber 로 최근 오류 확인.
2. 프로세스 상태 점검 → 비정상 종료 시 즉시 서비스 재시작(systemctl restart ...).
3. 네트워크 트래픽 캡처 (tcpdump) 로 악성 GOOSE 프레임 존재 여부 검증.
4. 차단 정책 적용 여부 확인 및 필요 시 ACL 수정.
5. 패치 일정 수립 후 테스트 환경에서 업그레이드 검증, 최종 프로덕션 적용.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None