[단독분석] 분석 — CVE-2026-63035

• 심각도 high · CVSS 8.1 · EPSS 미확보 · 악용난이도 moderate

본 취약점은 open62541 라이브러리의 TransferSubscriptions 서비스 내에서 발생하는 Heap Use-After-Free(UAF) 결함입니다. 인증된 공격자가 메모리 해제 후 해당 영역을 참조하는 잘못된 포인터를 조작함으로써, 프로그램의 실행 흐름을 변경하거나 비정상적인 종료를 유도하는 방식으로 작동합니다.

• 경로: Authenticated User $\rightarrow$ TransferSubscriptions service $\rightarrow$ Heap Memory Corruption $\rightarrow$ DoS or RCE.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:L/UI:N 벡터를 가지며, 네트워크를 통해 원격으로 접근 가능한 환경에서 낮은 수준의 권한(PR:L)을 가진 인증된 사용자가 특별한 사용자 상호작용 없이 공격을 수행할 수 있습니다. 공격 표면은 open62541 스택 내 TransferSubscriptions 서비스이며, 해당 엔드포인트로 전달되는 구독 전송 관련 파라미터 및 프로토콜 메시지가 주요 트리거 지점이 됩니다. Heap Use-After-Free(UAF) 특성상 메모리 레이아웃 조작을 통해 DoS 유발은 비교적 용이하나, 임의 코드 실행(RCE)으로 발전시키기 위해서는 대상 시스템의 메모리 보호 기법을 우회해야 하므로 실제 성공 난이도는 Moderate 수준으로 판단됩니다. 현재 KEV에 등재되지 않았고 EPSS 수치가 unavailable 상태인 점으로 보아 야생에서의 대규모 악용 사례는 미관측되었으나, OPC UA 프로토콜의 특성상 내부망 침투 후 권한 상승이나 서비스 무력화를 노리는 타겟 공격에 이용될 가능성이 존재합니다. 따라서 이론적 심각도는 높지만, 인증 필요 조건과 실제 익스플로잇 구현 난이도가 결합되어 실질적인 악용 가능성은 중간 단계로 분석됩니다.

• 기술적 위험:
  • 서비스 중단(DoS): Heap 영역의 오염으로 인해 프로세스가 Crash 되어 OPC UA 서버 기능이 완전히 정지될 수 있습니다.
  • 임의 코드 실행(RCE): 추정: 공격자가 해제된 메모리 영역에 악성 페이로드를 배치하고 이를 실행하게 함으로써 시스템 권한을 획득할 가능성이 존재합니다.
• 비즈니스 리스크: open62541은 산업 제어 시스템(ICS) 및 IoT 환경에서 널리 사용되는 스택이므로, 공격 성공 시 공정 제어 가용성 상실 또는 물리적 인프라에 대한 비인가 접근으로 이어질 수 있는 심각한 운영 리스크를 내포합니다.
• 노출 규모: 영향 제품은 open62541 라이브러리를 사용하는 모든 서비스이며, 구체적인 버전은 명시되지 않았으나 해당 서비스 기능을 활성화한 환경이 대상입니다.

Memory-Corruption 유형의 특성상, 다른 메모리 누수(Memory Leak) 취약점과 체이닝될 경우 Heap 레이아웃을 정교하게 조작하여 RCE 성공률을 높이는 공격 시나리오가 가능할 수 있습니다.

• 메모리 분석: TransferSubscriptions 서비스 호출 시 발생하는 Segmentation Fault 또는 Heap Corruption 관련 시스템 로그 모니터링.
• 네트워크 패턴: 인증된 세션에서 TransferSubscriptions와 관련된 비정상적으로 반복적이거나 조작된 OPC UA 요청 패킷 탐지.

• 근본 해결: open62541 최신 보안 패치 적용 및 라이브러리 업데이트.
• 즉시 조치:
  • 불필요한 경우 TransferSubscriptions 서비스 기능 비활성화.
  • 신뢰할 수 없는 사용자의 인증 권한 제한 및 네트워크 접근 제어(ACL) 강화.

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. CVSS 8.1의 높은 심각도에도 불구하고, 실측 EPSS 값이 미확보 상태이며 KEV(Known Exploited Vulnerabilities)에 등재되지 않았고 PoC가 미상인 점을 고려하여 규칙 기반 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None