[방어] 분석 — CVE-2026-66349

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

MMS 세션이 이미 수립된 상태에서 공격자는 확장 BER 태그가 포함된 Confirmed Request PDU를 전송합니다. 디코더는 해당 태그의 길이를 검증하지 못해 내부 버퍼 포인터를 1바이트 앞서게 이동시키고, 힙 영역을 초과하여 읽어들입니다. 이로 인해 프로세스가 SIGSEGV 로 종료되어 서비스 거부(DoS)가 발생합니다. 1‑byte OOB 읽기로 획득한 메모리 값이 힙 베이스 주소 추정에 활용될 경우, 추가적인 힙 가드 우회·임의 쓰기 단계로 이어져 정보 누출 또는 원격 코드 실행(RCE) 가능성이 존재합니다(현재 공개된 PoC는 없으며, 추가 메모리 재배열/재사용이 필요함).

악용 가능성: 이 취약점은 AV:A (인접 네트워크)·AC:L (낮은 복잡도)·PR:N (권한 없음)·UI:N (사용자 상호작용 없음)이라는 CVSS 벡터가 의미하듯, 공격자는 동일 LAN 혹은 바로 인접한 서브넷에 존재하기만 하면 별도의 인증 절차 없이 네트워크 수준에서 직접 접근할 수 있습니다.
실제 악용을 위해서는 MMS 프로토콜의 정상적인 세션 핸드쉐이크를 마친 뒤, 확장 BER 태그가 포함된 confirmed request PDU 패킷만 조작해 전송하면 되므로, 공격 준비 단계는 비교적 단순합니다.
하지만 이 패킷을 전달하려면 MMS 서비스가 사용하는 기본 포트(예: TCP 102)와 프로토콜 형식에 대한 사전 지식이 필요하므로, 완전한 무지 상태에서의 시도는 성공 확률이 낮습니다.
EPSS 값이 제공되지 않고 KEV 리스트에도 포함되지 않은 점은 현재까지 보고된 실제 공격 사례가 거의 없으며, 따라서 이 취약점이 아직 광범위하게 악용되고 있지는 않다는 것을 의미합니다.
그럼에도 불구하고 one‑byte heap out‑of‑bounds read 로 인한 서비스 프로세스 종료는 즉시 DoS 상태를 초래하므로, 공격 표면은 “MMS 서버가 외부에 노출된 TCP 포트 102(또는 해당 서비스 포트) → 인증 없이 수신 가능한 PDU 필드(확장 BER 태그)” 로 한정됩니다.
요약하면, 네트워크 접근성은 높고 구현 난이도는 낮지만, 실제 악용 사례가 드물어 현재 위험도는 moderate 로 평가되며, 공격자는 정상 세션을 확보한 뒤 특수하게 조작된 PDU만 전송하면 된다는 점을 기억하시면 됩니다.

• 프로세스 비정상 종료 → 서비스 가용성 저하 및 자동 재시작 지연.
• 1‑byte OOB 읽기로 인해 힙 레이아웃 정보가 노출될 경우, 고급 공격자가 메모리 주소를 추정해 힙 가드 우회를 시도할 수 있음(정보 누출 위험).
• 추가적인 메모리 재배열·재사용 단계가 성공하면 임의 쓰기를 통한 RCE 가능성 존재(이론적 위험).

BER/ASN.1 디코더에서 길이 검증 누락으로 인한 OOB 읽기·쓰기 패턴은 과거 MQTT, SNMP 등에서도 보고된 바 있으며, 동일 서버에 대한 DoS와 메모리 정보 유출을 연계하는 체이닝이 이론적으로 가능함.

• 로그 지표

  • MMS 애플리케이션 로그: event=decode_error 혹은 detail=out_of_bounds_read, 포함 필드 → src_ip, session_id.
  • 시스템 로그(예: syslog): 프로세스 비정상 종료 기록 process=mmsd, msg=*segmentation fault*.
  • IDS/IPS 로그: 페이로드에 0x80 로 시작하는 확장 BER 태그가 포함된 패킷 감지.

• SIEM 탐지 규칙 예시
  1️⃣ 애플리케이션 디코드 오류 감시

 1SELECT src_ip, session_id, COUNT(*) AS cnt
 2FROM event_log
 3WHERE message LIKE '%out_of_bounds_read%'
 4  AND event = 'decode_error'
 5GROUP BY src_ip, session_id
 6HAVING cnt >= 1

 1 *오탐 튜닝*: 테스트 환경에서는 `environment='dev'` 조건을 추가.  

2️⃣ 프로세스 비정상 종료 감시

 1SELECT host, process_name, timestamp
 2FROM syslog
 3WHERE process_name = 'mmsd'
 4  AND message LIKE '%segmentation fault%'

 1 *오탐 튜닝*: OS 업데이트 후 발생하는 코어 덤프는 `kernel_version='*'` 로 제외.  

3️⃣ 네트워크 레이어 확장 BER 태그 패턴 감시 (정규식)

 1payload =~ /\\x80[\\x81-\\xff]/ AND dst_port = 102

 1 *오탐 튜닝*: 정상 서비스에서 사용되는 알려진 확장 태그 리스트(`known_tag_list`)를 변수에 등록하고 매치 제외.  

• 검증 방법
  • 테스트 환경에 변조된 PDU를 전송해 위 규칙이 트리거되는지 확인.
  • 정상 MMS 트래픽을 수집하여 오탐 비율을 측정하고, 정규식·조건을 조정한다.

• 즉시(긴급 차단) – 오늘 당장 적용할 임시 차단: 방화벽 또는 IPS에서 TCP 102 포트로 들어오는 트래픽 중 페이로드가 0x80 로 시작하고 뒤에 0x81‑0xff 범위 바이트가 이어지는 경우를 DROP하도록 ACL을 추가합니다.

  • 구현 난이도: ★★☆☆☆ (방화벽 규칙 하나 추가)
  • 운영 영향: 정상적인 MMS 통신에서 확장 BER 태그를 사용하는 경우 차단될 수 있으니 사전 테스트 권고.
  • 검증 방법: 차단 규칙 적용 후 정상 트래픽 로그와 차단 로그를 비교해 예상치 못한 드롭이 없는지 확인.

• 단기(완화) – 패치가 배포되기 전까지 위험을 낮추는 조치

  1. MMS 서버 설정에 “strict BER validation” 옵션이 존재한다면 활성화하고, 없으면 디코더 레이어 앞에 입력 검증 프록시를 두어 확장 BER 태그 길이와 형식을 강제 검사합니다.
  2. 세션당 허용되는 PDU 크기 상한을 설정하고, 비정상적인 디코드 오류 발생 시 자동 재시작 스크립트를 배포합니다.
  • 구현 난이도: ★★★☆☆ (설정 파일 수정·프록시 도입)
  • 운영 영향: 일부 큰 PDU가 거부될 수 있으나 서비스 가용성은 유지됨.
  • 검증 방법: 정상 크기의 PDU와 변조된 PDU를 각각 전송해 로그에 decode_error 가 기록되는지 확인.

• 근본(해결) – 패치·수정 적용 및 장기 방어

  1. 벤더에서 제공하는 보안 업데이트가 공개되면 즉시 적용하고, 현재 사용 중인 MMS 서버 소프트웨어의 정확한 공급자를 식별해 최신 메이저 릴리즈로 업그레이드합니다.
  2. 컴파일 옵션에 힙 보호(예: -fstack-protector, -D_FORTIFY_SOURCE=2)와 ASLR 활성화를 적용하도록 빌드 정책을 강화합니다.
  • 구현 난이도: ★★★★★ (버전 파악·테스트·배포)
  • 운영 영향: 서비스 재시작 및 호환성 테스트 필요.
  • 검증 방법: 패치 적용 후 동일 변조 PDU를 전송해 디코드 오류가 발생하고 프로세스가 정상 종료되는지 확인.

잔여 리스크 – 패치 적용 이후에도 유사한 BER 파싱 로직에 설계 결함이 남아 있을 가능성이 있으므로, 정기적인 코드 리뷰·펜테스트와 위 탐지 규칙을 지속 운영하는 것이 권장됩니다.

인시던트 대응 플레이북

1. 프로세스 비정상 종료 알림 수신 → 대상 호스트 및 세션 ID 확인.
2. decode_error·out_of_bounds_read 로그 검색으로 공격 시도 여부 판단.
3. 공격 IP 차단 및 즉시 차단 규칙 적용(위 긴급 차단).
4. 서비스 자동 재시작 후 정상 동작 여부 점검.
5. 메모리 덤프와 패킷 캡처 확보, 벤더에 상세 보고.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None