[단독방어] 분석 — CVE-2026-66360

• 심각도 high · CVSS 7.5 · EPSS 미확보 · 악용난이도 easy

공격자는 MMS(ISO 102) 포트 102에 TCP 연결을 시도하면서 길이 검증이 누락된 프레젠테이션 데이터 필드에 0‑길이 값을 삽입한다. 처리 과정에서 힙 오버리드를 일으켜 프로세스가 비정상 종료하고 서비스 거부(DoS) 상태가 발생한다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N 은 네트워크를 통한 원격 접근만으로도 복잡한 사전 작업 없이 바로 공격이 가능함을 의미하므로 난이도가 easy 로 평가됩니다. EPSS 값이 존재하지 않고 KEV 리스트에도 포함되지 않아 현재까지 실제 악용 사례가 보고된 바는 없지만, 이러한 지표는 단순히 관측된 위협 빈도만을 반영할 뿐이며, 공격 조건 자체가 매우 간단하기 때문에 이론적 위험은 여전히 높다고 판단됩니다. 공격자는 대상 시스템의 MMS 서비스( TCP 포트 102 )에 접속한 뒤, ISO Presentation 계층 협상 과정에서 길이 검증이 누락된 필드를 길이가 0인 값 으로 구성해 전송하면 됩니다. 이 단계는 MMS 세션이 수립되기 이전에 발생하므로 인증·권한이 전혀 요구되지 않으며, 사용자 개입도 필요하지 않습니다. 취약점은 협상 파라미터를 처리하는 과정에서 힙 오버리드를 일으키는 것으로, 과다 읽은 메모리로 인해 프로세스가 비정상 종료되어 서비스 거부(DoS) 상태가 됩니다. 따라서 네트워크 상

성공적인 악용 시 대상 서버는 프로세스가 강제 종료되어 MMS 세션이 수립되지 않으며, 이는 산업 제어 시스템 등 실시간 통신이 필수인 환경에서 서비스 중단을 초래한다. 데이터 유출·원격 코드 실행은 없으며, 영향은 가용성(Availability)만 감소한다.

• 동일한 ISO Presentation‑layer 파싱 오류를 이용하는 과거 CVE‑2022‑XXXXX(가정)와 유사한 메모리‑오버리드 패턴
• 포트 102 기반 MMS 서비스에 대한 인증 우회 또는 프로토콜 혼합 공격과 연계될 가능성 있음(구체적인 CVE 번호는 확인되지 않음).

• 로그 지표
  • 방화벽/IDS 로그: dest_port=102 AND payload_length=0 OR presentation_data_length=0
  • 애플리케이션 로그(가능 시): “Presentation layer negotiation failed – invalid length”.
• SIEM 쿼리 예시 (Splunk)

 1index=network sourcetype="suricata" dest_port=102 
 2| eval zero_len = if(payload_length==0 OR match(payload,"\x00{4,}"),1,0) 
 3| where zero_len=1 
 4| stats count by src_ip _time 
 5| where count > 5

• 정규식/의사코드 (Suricata)

 1alert tcp any any -> $HOME_NET 102 (msg:"CVE-2026-66360 possible exploit"; flow:to_server; content:"|00 00 00 00|"; depth:4; offset:12; distance:0; classtype:attempted-dos; sid:1000001;)

• 오탐 튜닝
  • 정상 MMS 장비가 실제로 0‑길이 프레젠테이션 필드를 전송하는 경우는 드물다. 오탐 가능성을 낮추기 위해 src_ip 화이트리스트에 알려진 MMS 서버를 추가하고, “5회/1분 초과”와 같은 임계값을 적용한다.

• 즉시(긴급 차단)

  • 조치: 외부 인터페이스에서 tcp dst port 102 를 차단하는 ACL 적용.
  • 난이도·영향: 구현 난이도 ★ (방화벽 규칙 추가만 필요), 서비스 중단 가능성 ★★ (MMS를 사용하는 내부 시스템이 있다면 일시적 가용성 감소).
  • 검증: 차단 후 동일 소스에서 crafted 패킷을 재전송해 로그에 “DROPPED”가 기록되는지 확인.

• 단기(완화)

  1. 레이트 리미팅 – 방화벽/IPS에서 포트 102에 대한 초당 연결 수를 10개 이하로 제한.
     • 난이도 ★, 영향 ★ (정상 트래픽이 폭주하는 경우 지연 가능).
  2. IDS 시그니처 활성화 – 위의 Suricata 규칙을 배포하고, 탐지된 이벤트를 자동으로 차단하도록 연동.
     • 난이도 ★★, 영향 ★ (오탐 시 알림만 발생).
  3. 프레젠테이션 레이어 파싱 로깅 강화 – 애플리케이션에 상세 디버그 로그를 일시적으로 켜고, 비정상 길이 필드가 발견될 때 경보 생성.
     • 난이도 ★★, 영향 ★ (로그 양 증가).

• 근본(해결)

  • 패치/업그레이드 – 공급업체가 제공하는 ISO Presentation‑layer 파싱 버그 수정 패치를 적용한다. 아직 제품 식별이 불명확하므로, 해당 프로토콜 스택을 사용하는 모든 소프트웨어(예: IEC 61850 MMS 구현) 최신 버전으로 업데이트한다.
    • 난이도 ★★★ (버전 확인·배포 필요), 운영 영향 ★★ (재시작 및 검증 절차).
  • 검증 방법 – 패치 적용 후 동일 crafted 패킷을 전송해 정상 응답(오류 로그 없이) 여부를 확인하고, SIEM에서 “zero_len=1” 이벤트가 사라졌는지 모니터링한다.

• 잔여 리스크

  • 패치를 적용하기 전까지는 위 즉시·단기 조치에 의존해야 하며, 공격자가 다른 포트로 동일한 프레젠테이션 데이터를 전달할 경우 탐지가 어려울 수 있다. 따라서 지속적인 네트워크 트래픽 분석과 정기적인 규칙 업데이트가 필요하다.

• 인시던트 대응 플레이북

  1. SIEM 알림 확인 → src_ip, dest_port=102 및 payload_length=0 검증
  2. 해당 소스 IP를 방화벽에서 차단하고, 네트워크 캡처(tcpdump -i eth0 port 102) 수집
  3. 영향받은 호스트의 서비스 상태 점검(프로세스 재시작 여부)
  4. 임시 차단 규칙 적용 후 재발 방지 확인 → 로그에 “DROPPED” 기록 존재 확인
  5. 근본 패치가 배포될 때까지 위 완화 조치를 유지하고, 사후 보고서 작성.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None