[분석가] 분석 — CVE-2026-56758
CVE-2026-56758 is a memory‑corruption flaw in ACSE AARQ parsing that can be mitigated by blocking unauthenticated MMS traffic and applying vendor patches as soon as they become available.
📋 요약
- 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate
🔍 공격 기법
인접 네트워크(예: LAN)에서 공격자는 MMS 연결 설정 시 전송되는 AARQ PDU의 calling AP title 필드 길이 값을 0 또는 1 로 조작한다. ACSE 파서는 해당 값을 검증하지 않아 힙 버퍼 끝을 넘어 읽게 되며, 이는 인증·사용자 상호작용 없이(AV:A/AC:L/PR:N/UI:N) 발생한다.
악용 가능성: AV가 Adjacent Network(A)이고 AC가 Low(L)이며 PR이 None(N), UI가 None(N)인 CVSS 벡터는 공격자가 동일 네트워크 혹은 바로 인접한 서브넷에 위치하면 별도의 권한이나 사용자의 동작 없이 직접 MMS 서비스의 ACSE 레이어에 악성 AARQ PDU를 전송할 수 있음을 의미합니다.
이 취약점은 호출자 AP 타이틀 내 길이 필드 값을 0 또는 1로 조작하면 파서가 힙 버퍼 끝을 넘어 읽게 되므로, 공격자는 단순히 MMS 연결 설정 단계에서 특수한 패킷만 전송하면 됩니다.
EPSS 데이터가 제공되지 않고 KEV에 등재되지 않았으므로 현재까지 야생 악용 사례는 관측되지 않아 실제 위협 수준은 이론적 심각도와 다소 차이가 있습니다. 그러나 AC = Low, PR = None, UI = None 조건으로 인해 공격 난이도는 낮으며, 네트워크에 노출된 MMS 엔드포인트(TCP 102/101 등)가 직접적인 공격 표면이 됩니다.
따라서 이 취약점은 “moderate” 등급을 유지하면서도, 인접 네트워크에 존재하는 시스템이 해당 포트를 열어 두었을 경우 실질적인 악용 가능성이 존재합니다.
💥 영향 분석
- 기술적 위험
- 힙 버퍼를 초과 읽음 → 프로세스 비정상 종료(DoS) 또는 메모리 내용 노출. 현재 CVE 설명에는 원격 코드 실행이 명시되지 않았으나, 메모리 손상이 다른 취약점과 결합될 경우 추가 위험이 존재한다.
- 비즈니스 위험
- MMS 서비스를 제공하는 산업 자동화·SCADA 시스템에서 가용성 저하가 발생하면 전력·제조 설비의 연속 운영에 직접적인 영향을 미칠 수 있다. 규제·컴플라이언스 측면에서도 서비스 중단은 위반 위험으로 이어진다.
- 영향 제품·노출 규모
- 영향 대상 제품이 공개되지 않아(“제품 미상”) 구체적 범위는 확인할 수 없으며, MMS를 구현하는 다양한 벤더 제품에 동일한 ACSE 파싱 로직이 포함될 가능성이 있다. 다중 소스 교차검증 결과(신뢰도 1.0)로 이 취약점은 실제 구현 전반에 존재할 확률이 높다.
🔗 관련 취약점·체이닝
메모리‑오버플로우(CWE‑122, CWE‑787)와 유사한 패턴을 보이는 다른 ACSE/MMS 구현 오류가 존재한다면, 메모리 손상 후 임의 코드 실행이나 권한 상승 체인에 활용될 수 있다. 현재 확인된 구체적 CVE 번호는 없으며, 연계 가능성은 유형 수준에서만 언급된다.
🔎 탐지
- 네트워크 IDS/IPS: MMS AARQ PDU에서
calling AP title길이 필드가0또는1인 패킷을 매칭하는 시그니처. - 애플리케이션 로그: “AP‑title length out of bounds”, “heap read overflow” 등 파싱 오류 메시지 발생 시 경보.
- 호스트 기반 모니터링: 힙 읽기 오버플로우 탐지 이벤트(예: Linux kmemcheck, Windows Event ID 1000)와 연계.
🛡️ 완화 방안
- 즉시 조치: MMS(TCP 102) 포트에 대한 외부 접근을 차단하고, 신뢰된 IP/서브넷만 허용하도록 네트워크 방화벽을 설정한다.
- 입력 검증 강화: ACSE 파싱 단계에서
calling AP title길이 값이 2 이상인지 확인하고, 비정상값은 즉시 연결 종료하도록 애플리케이션 로직을 추가한다. - 패치 적용: 벤더가 제공하는 보안 업데이트가 발표되는 대로 신속히 적용한다(현재 제품 미상이므로 해당 공급업체에 문의).
- 우선순위 근거: CVSS 6.5, KEV 비등재, EPSS 미확보, exploit = moderate 로 판단되어 이번 주 내(scheduled) 대응이 권장된다.
⚖️ 위험도 / 우선순위
- 조치: scheduled (이번 주 내)
- 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None