[단독공격] 분석 — CVE-2026-66360
CVE-2026-66360 is a network‑reachable heap over‑read in the ISO Presentation layer that enables an attacker to crash the service on TCP port 102, and immediate blocking of that port plus vendor patching are required.
📋 요약
- 심각도 high · CVSS 7.5 · EPSS 미확보 · 악용난이도 easy
🔍 공격 기법
- 공격 표면 : TCP / 102 (ISO‑OSI MMS) 서비스가 열려 있는 모든 호스트. 협상 단계에서 전송되는 encoded presentation data 의 길이 필드가 검증되지 않음.
- 트리거 조건 : 공격자는 “길이=0” 인 필드를 포함한 정상 모드 협상 패킷을 전송한다. 이 값은 내부 힙 버퍼의 경계를 초과해 읽기를 발생시킨다.
- 단계 흐름
- 정찰 – 포트 102가 열려 있는지 Nmap 등으로 확인하고, 서비스 배너(ISO‑Presentation) 존재 여부를 파악한다.
- 초기 접근 – TCP 연결을 수립한 뒤 정상 협상 흐름을 모방하되, 길이 필드를 0 으로 설정한 패킷을 삽입한다. (CVSS AV:N/AC:L/PR:N/UI:N 에 정확히 부합)
- 실행 – 결함이 있는 파서가 제한된 힙 영역을 과다 읽어 프로세스가 비정상 종료된다. 권한 상승·지속성은 존재하지 않으며, 목표는 가용성 파괴이다.
- 영향 – 서비스 다운으로 MMS 세션이 중단되고, 복구 없이 지속될 경우 운영 차질을 초래한다.
- 관측 지표 : 비정상적인 TCP FIN/RST 흐름, “presentation‑data length = 0” 로그 항목, 프로세스 크래시 덤프.
💥 영향 분석
성공 시 대상 호스트의 ISO‑Presentation 처리 프로세스가 즉시 종료되어 서비스 가용성이 상실된다(Availability Only). 이는 MMS 기반 자동화 시스템이나 SCADA 환경에서 실시간 데이터 흐름을 차단함으로써 운영 중단을 야기한다.
🔗 관련 취약점·체이닝
- 유형 : CWE‑787 (Out‑of‑bounds Read) → 힙 오버리드.
- 가능한 체인 : 추정: 오버리드된 메모리 영역에 포함될 수 있는 포인터 값이 노출되면, 후속 정보 유출(CWE‑200) 혹은 인접 버퍼 오버플로우(CWE‑122)를 이용해 원격 코드 실행(RCE)으로 이어질 가능성이 있다. 현재 알려진 직접적인 CVE 연계는 없으며, 동일한 서비스에 존재하는 다른 입력 검증 결함과 조합될 경우 복합 공격이 성립할 수 있다.
🔎 탐지
- IDS/IPS에서 “TCP 102 → payload length field == 0” 규칙을 적용한다.
- 시스템 로그에 “ISO‑Presentation negotiation failed – zero length” 와 같은 오류가 반복적으로 기록되는지 모니터링한다.
- 프로세스 크래시 이벤트와 동시에 다량의 FIN/RST 패킷이 발생하는 경우를 경보로 설정한다.
🛡️ 완화 방안
- 즉시 조치 – 신뢰할 수 없는 네트워크에서 포트 102 접근을 차단하거나, 애플리케이션‑레벨 방화벽으로 길이 검증 규칙을 적용한다.
- 임시 대응 – 해당 서비스의 재시작 자동화를 구축해 크래시 발생 시 빠르게 복구하도록 한다.
- 근본 해결 : 공급업체가 제공하는 패치를 신속히 적용하고, 입력 길이 검증 로직을 추가하도록 권고한다. (교차검증: 다중 소스에서 일관성이 확인됐으며, 보수적으로 높은 심각도 high 를 채택)
- 우선순위 : EPSS 데이터는 확보되지 않았지만(EPSS 미확보), “exploit=easy” 규칙에 따라 즉시 대응이 필요함을 강조한다([실측 악용예측]·[우선순위 결정]).
⚖️ 위험도 / 우선순위
- 조치: immediate (지금 즉시(24h 내))
- 근거: CVSS=7.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None