[단독분석] 분석 — CVE-2026-63033

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

공격자가 IEC 60870-5-104 프로토콜의 I-frame 패킷을 조작하여 ASDU(Application Service Data Unit) 바디 내 실제 데이터보다 더 큰 객체 수(Object Count)를 선언해 전송합니다. 이를 처리하는 InformationObject_ParseObjectAddress 함수가 경계 검사 없이 데이터를 읽어, 힙(Heap) 메모리에 할당된 버퍼 끝에서 1바이트를 초과하여 읽는 Out-of-bounds Read가 발생합니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 네트워크를 통해 인증 없이 접근 가능한 IEC 60870-5-104 프로토콜 엔드포인트가 공격 표면입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에서 알 수 있듯, 특수하게 조작된 I-frame 패킷을 전송하는 것만으로 트리거가 가능하여 공격 난이도는 매우 낮습니다(Easy). 구체적으로는 ASDU body의 실제 크기보다 더 큰 객체 수를 선언한 패킷을 송신함으로써, InformationObject_ParseObjectAddress 함수가 힙 할당 버퍼의 경계를 넘어 한 바이트를 읽게 만드는 Out-of-bounds Read 구조를 가집니다. 현재 KEV에 등재되지 않았고 EPSS 값은 확인되지 않아(Unavailable) 야생에서의 실제 악용 사례는 미관측 상태입니다. 그러나 전력·수도 등 주요 인프라에서 사용하는 산업 제어 시스템(ICS) 프로토콜의 특성상, 이론적 심각도와 별개로 공격자가 타겟 네트워크에 진입했을 때 매우 효율적인 서비스 거부(DoS) 또는 정보 유출 수단으로 악용될 가능성이 큽니다.

• 기술적 위험: Memory-Corruption 유형으로, 인접한 메모리 영역의 1바이트가 유출되는 Information Disclosure 또는 잘못된 메모리 참조로 인한 프로세스 비정상 종료(Denial of Service)가 발생할 수 있습니다. CVSS 벡터(C:L/A:L)에 근거하여 기밀성과 가용성에 낮은 수준의 직접적 영향이 예상됩니다.
• 비즈니스 리스크: IEC 60870-5-104는 전력·에너지 분야 SCADA 시스템에서 핵심적으로 사용되는 프로토콜입니다. 추정: ICS 환경 내 제어 서버나 RTU(Remote Terminal Unit)의 가용성이 저하될 경우, 실시간 모니터링 중단 및 운영 효율성 저하로 이어질 수 있습니다.
• 노출 규모: 영향 제품이 구체적으로 명시되지 않아 정확한 산출은 불가하나, 해당 프로토콜 스택을 구현하여 외부 네트워크에 노출시킨 모든 산업용 장비가 잠재적 대상입니다.

단일 1바이트 유출만으로는 시스템 전체 장악이 어려우나, 메모리 레이아웃을 파악하는 정보 수집 단계로 활용되어 다른 Memory-Corruption 취약점과 체이닝될 경우 공격 성공률을 높이는 보조 수단이 될 가능성이 있습니다.

• 분석 지점: 네트워크 트래픽 내 IEC 60870-5-104 I-frame 패킷의 ASDU 구조 분석.
• 탐지 패턴 예시: 패킷 헤더에 선언된 Object Count 값이 실제 전송된 ASDU Body의 물리적 길이보다 큰 경우(Declared Count > Actual Length)를 비정상 패킷으로 식별합니다.

• 즉시 조치: ICS 네트워크 경계에 ACL(Access Control List) 또는 산업용 방화벽을 적용하여, 인가된 IP 주소 간의 IEC 60870-5-104 통신만 허용하도록 제한합니다.
• 근본 해결: InformationObject_ParseObjectAddress 함수 내에서 객체 수를 읽기 전, 할당된 버퍼의 실제 잔여 길이를 검증하는 경계 검사(Boundary Check) 로직을 추가한 패치를 적용합니다.

[분석 근거 및 우선순위]
본 분석은 다중 소스 데이터 간 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값은 미확보 상태이며 KEV에도 등재되지 않아 야생에서의 악용 사례는 미관측되었습니다. 그러나 공격 난이도가 easy이고 원격 인증 없는 공격(AV:N/AC:L/PR:N)이 가능하다는 점을 고려하여, 즉시 대응보다는 이번 주 내 조치를 권고하는 scheduled 우선순위로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None