[공격] 분석 — CVE-2026-50032

• 심각도 high · CVSS 7.5 · EPSS 0.00263 · 악용난이도 moderate

• 공격 표면
  • MMS (ISO 9506‑1) 서비스, 기본 포트 TCP 102. 인증·권한 요구 없음( PR:N ).
  • 취약 함수: WriteNamedVariableList 핸들러의 NULL pointer dereference.
  • 트리거 입력: WriteRequest 메시지 내 listOfData 필드가 길이 0인 경우.
• 전략 단계
  1️⃣ 정찰 – 포트 102 개방 여부를 스캔(예: SYN‑scan).
  2️⃣ 초기 접근 – TCP 연결 수립 후 MMS 헤더만 정상적으로 전송, listOfData 길이 필드에 0 삽입.
  3️⃣ 실행 – 서버가 NULL 포인터를 역참조해 프로세스 비정상 종료 → 서비스 가용성 상실(Availability High).
  4️⃣ 지속·영향 – 복구 자동화가 없을 경우 장시간 다운, 재시작 스크립트 오류 시 상태 불일치 발생 가능.
• CVSS ↔ 실제 조건 매핑
  • AV:N → 네트워크 바로 접근 가능.
  • AC:L → 프로토콜 사양만 알면 충분히 구성 가능.
  • PR:N, UI:N → 인증·사용자 상호작용 전혀 필요 없음.

※ 추정: 메모리 레이아웃에 따라 동일 경로에서 임의 코드 실행(RCE)으로 전이될 가능성도 제기되고 있으나 현재 공개된 증거는 없으며, 주된 위험은 서비스 거부임.

악용 가능성: AV:N/AC:L/PR:N/UI:N 벡터는 원격 네트워크에서 별다른 사전 준비 없이 바로 요청을 전송하면 된다는 의미이며, 실제로 MMS 서비스가 102 포트 등으로 외부에 노출돼 있다면 공격자는 동일 LAN 혹은 VPN 경계 내에서 단순히 WriteRequest 메시지의 listOfData 필드를 비워 보내기만 하면 됩니다.
이 요청이 해당 핸들러 내부의 NULL 포인터를 역참조하게 만들어 서버 프로세스가 강제 종료되므로, 공격 난이도는 “낮음”(Low)으로 평가됩니다.
하지만 취약점 자체가 서비스 가용성을 훼손하는 DoS 수준에 머물고, 권한 상승이나 데이터 유출과 같은 추가 효과를 제공하지 않으므로 전체 위험 등급은 moderate 로 책정되었습니다.
EPSS = 0.00263이라는 실측 확률은 현재 전 세계적으로 실제 악용이 매우 드물다는 것을 보여주지만, 완전히 무시할 수는 없으며 특히 산업 자동화 환경처럼 MMS가 핵심 인프라에 직접 연결된 경우에는 여전히 위협 요인으로 고려해야 합니다.
KEV(다른 주요 취약점 리스트)에 등재되지 않은 점은 아직 대규모 공격 캠페인이 보고되지 않았음을 의미하지만, 이는 공격자가 별도의 탐지 회피 수단 없이도 손쉽게 트리거할 수 있다는 사실과는 별개입니다.
따라서 방어자는 노출된 MMS 엔드포인트와 WriteRequest·listOfData 파라미터를 주시하고, 해당 서비스가 불필요하게 외부에 개방되지 않았는지 검토하는 것이 실질적인 위험 감소에 도움이 됩니다.

• 프로세스 크래시 → 서비스 가용성 전면 차단(Availability High).
• 기밀성·무결성 손상 없음(C:N/I:N) – CVSS에 명시됨.
• 재시작 로직이 부실할 경우 변수 초기화 실패 등 2차 장애가 발생할 수 있음(추정).

• 입력 검증 부재 → NULL deref → DoS (본 CVE).
• 동일 시스템에 다른 메모리 손상 취약점이 존재한다면, 크래시 후 남은 메모리 상태를 이용해 권한 상승 또는 원격 코드 실행으로 연결될 가능성이 있음(추정).
• 구체적인 연계 CVE 번호는 확인되지 않음; 일반적인 체인 패턴은 입력 검증 → 메모리 손상 → 서비스 중단/권한 상승 형태.

• IDS/IPS 규칙: MMS WriteRequest에서 listOfDataLength == 0 인 패킷 감시.
• 서버 로그: “WriteNamedVariableList handler received empty list” 혹은 비정상 종료 이벤트.
• 운영 체제 수준: 해당 프로세스의 갑작스러운 SIGSEGV/Crash Dump 생성 알림.

1️⃣ 패치 적용 – 공급업체가 제공하는 보안 업데이트가 있으면 즉시 배포(우선순위 scheduled).
2️⃣ 네트워크 제한 – MMS 포트 102를 필요 호스트·IP로만 허용하거나 서비스 비활성화.
3️⃣ 애플리케이션 레벨 검증 – listOfData가 0이면 요청을 즉시 거부하도록 로직 추가.
4️⃣ 모니터링 및 자동 복구 – 프로세스 상태 감시, 크래시 발생 시 알림·자동 재시작 스크립트 구현.
5️⃣ 메모리 보호 강화 – ASLR/DEP 적용 여부 확인 및 운영 체제 보안 옵션 최신화.

다중 소스 교차검증 결과(교차검증: 일관성 확인)와 EPSS 0.00263(실측 악용예측 moderate)을 근거로, 이번 주 내 조치가 권고되며 CVSS 7.5·non‑KEV·EPSS 0.00263에 기반한 우선순위 결정(scheduled)과 일치합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00263 · exploit=moderate · in_scope=None