[단독분석] 분석 — CVE-2026-78012

• 심각도 critical · CVSS 9.8 · EPSS 0.00475 · 악용난이도 moderate

• 공격자는 네트워크 상에서 EtherNet/IP 프로토콜을 이용해 Class 3 명시적 메시지를 비정상적으로 크게 전송한다.
• 수신 장치는 버퍼 크기 검증이 누락돼 요청 데이터를 그대로 복사하면서 메모리 손상이 발생하고, 이는 서비스 중단이나 원격 코드 실행으로 이어질 수 있다.
• 악용 시 CIP 오류 응답이 반환되지 않아 공격자는 성공 여부를 확인하기 어렵다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는(AV:N) EtherNet/IP 서비스에 대해 복잡도가 낮은(AC:L) 요청만 보내면 인증 없이(PR:N) 사용자 개입 없이(UI:N) 발생합니다. 공격자는 TCP 44818 포트 등에서 노출된 CIP Explicit‑Message 인터페이스에, 버퍼 크기를 초과하는 대용량 Class 3 메시지를 전송하면 수신 버퍼 오버플로우가 발생해 메모리 손상 및 서비스 중단이 일어납니다. EPSS 0.00475라는 실측 확률은 현재까지 관측된 악용 사례는 드물지만, 이론적 위험이 실제 위협으로 전환될 가능성을 완전히 배제할 수 없음을 의미합니다. KEV에 등재되지 않은 점은 아직 공개적인 익스플로잇 코드가 확인되지 않았다는 것을 나타내며, 따라서 현재까지는 ‘moderate’ 등급을 유지합니다. 공격 난이도는 버퍼 오버플로우를 일으키는 정확한 메시지 형식과 크기를 알아야 하는 점에서 약간의 전문성이 요구되지만, 네트워크 접근만 확보하면 추가적인 인증 절차가 없기 때문에 실질적으로 낮은 장벽을 가집니다. 따라서 주요 공격 표면은 NetStaX EtherNet/IP 스택이 구동되는 모든 디바이스이며, 해당 서비스가 외부에 노출된 환경에서 위험도가 현실화될 수 있습니다.

• 기술적 위험: 메모리 손상 → 장치 충돌·재부팅, 잠재적인 원격 코드 실행 가능성(공격자가 임의 코드를 삽입할 경우).
• 비즈니스 리스크: 가용성 저하(제조 설비·공정 제어 시스템 다운), 산업 규제·컴플라이언스 위반 위험(안전 인증 요구사항 미충족), 고객 및 파트너 신뢰 손실.
• 영향 제품·노출 규모: 해당 취약점은 NetStaX EtherNet/IP Stack을 사용하는 모든 장치에 존재하지만, 현재 정확한 적용 범위는 공개되지 않아 미상이다. 다중 소스 교차검증([교차검증] 다중 소스에서 일관성이 확인됐다)으로 인해 제품군 전체가 잠재적 대상임을 추정한다.

• 동일한 EtherNet/IP 스택에서 버퍼 오버플로우를 이용하는 과거 CVE(예: CVE‑2022‑XXXXX)와 유사한 공격 경로를 공유할 수 있다.
• 메모리 손상 후 권한 상승이나 원격 코드 실행을 제공하는 다른 취약점(CWE‑416, Use‑After‑Free 등)과 체이닝될 가능성이 존재한다.

• IDS/IPS 로그에서 Class 3 Explicit Message의 Message Length 필드가 정상 범위(예: 0–1024 bytes)를 초과하는 트래픽을 감시.
• 해당 패킷에 대해 CIP Error Response 없음이 지속적으로 기록되는 경우 의심 이벤트로 생성.
• 시스템 로그에서 비정상적인 프로세스 재시작 또는 메모리 접근 오류가 발생한 시점을 연계 분석.

• 즉시 조치: NetStaX EtherNet/IP Stack을 v5.6.1 이상으로 업데이트하거나, 제조사 패치를 적용한다.
• 임시 방어: 네트워크 레벨에서 Class 3 메시지 크기 제한 정책을 설정하고, 의심 트래픽을 차단하도록 방화벽/IPS 규칙을 추가한다.
• 장기 대책: 입력 검증 로직 강화, 오류 로그 전송 활성화, 정기적인 펌웨어·스택 업데이트 주기 수립 및 취약점 관리 프로세스에 EPSS 0.00475와 같은 실측 악용 예측 지표를 반영한다.

우선순위 판단: CVSS 9.8·non‑KEV·EPSS 0.00475·exploit moderate라는 규칙 기반 신호([우선순위 결정] scheduled)로 이번 주 내 대응이 권고된다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00475 · exploit=moderate · in_scope=None