[공격] 분석 — CVE-2026-54429

• 심각도 high · CVSS 7.4 · EPSS 0.00163 · 악용난이도 hard

• 전제조건

  • 공격자는 동일 LAN 세그먼트에 존재해야 함 (CVSS AV:A).
  • 인증이 전혀 필요하지 않음 (PR:N), 사용자 개입 없이 자동 실행 가능 (UI:N).
  • 대상 PLCSIM 인스턴스가 특정 프로젝트 구성을 활성화한 상태여야 메모리 할당 루프가 발생함(제품 매뉴얼에 명시된 전제, 추정).

• 정찰

  • ARP/ND‑Discovery 또는 Siemens 전용 서비스(S7 Discovery, mDNS 등)로 PLCSIM 호스트 IP와 수신하는 멀티캐스트 그룹 주소를 파악.
  • 해당 호스트가 현재 시뮬레이션 프로젝트를 실행 중인지 확인하기 위해 프로세스 목록이나 로그(예: “Project Loaded”)를 관찰(추정).

• 초기 접근

  • UDP 기반 멀티캐스트 패킷을 높은 전송률(PPS)로 지속 송신. 사용 도구는 iperf, scapy 등 일반적인 트래픽 생성 툴이면 충분함 (AC:L).
  • 패킷 내용 자체는 특별히 조작되지 않아도 되며, 단순 대량 전송만으로 PLCSIM 내부 버퍼가 메모리 고갈에 도달한다.

• 실행·권한 획득

  • 과다 트래픽이 메모리 풀을 소진하면 PLCSIM 프로세스는 OutOfMemory 상태에 빠져 응답을 멈추고, 수동 재시작 필요(A:H).
  • 이 단계에서 추가 권한 상승이나 코드 실행은 발생하지 않으며, 목표는 서비스 중단이다.

• 지속·영향

  • 서비스가 중단되어 시뮬레이션이 멈추고 테스트 일정이 지연됨. 프로젝트 데이터 자체는 손실되지 않음(C:N).
  • 공격자는 동일 네트워크에 지속적으로 트래픽을 전송함으로써 장시간 DoS 상태를 유지할 수 있다.

• CVSS ↔ 실제 조건 매핑

  • AV:A → L2 멀티캐스트, 로컬 LAN 필요.
  • AC:L → 기본 트래픽 생성 툴만 있으면 가능.
  • PR:N → 인증 불필요.
  • UI:N → 사용자 행동 없이 자동 실행.

악용 가능성: AV:A(인접 네트워크)와 UI:N(사용자 개입 없음), PR:N(권한 필요 없음)을 고려하면 공격자는 동일 LAN에 존재하기만 하면 추가 권한 없이도 시도할 수 있습니다. AC:L(낮은 난이도)은 고볼륨 멀티캐스트 패킷을 전송하는 것만으로 충분하므로 구현 복잡도가 거의 없습니다. 다만 성공하려면 대상 인스턴스에 특정 프로젝트 구성이 미리 로드돼 있어야 하며, 이는 공격 전 단계에서 환경 조사가 필요함을 의미합니다. EPSS 0.00163이라는 실측값은 현재까지 실제 악용 사례가 극히 드물지만 존재한다는 증거이며, KEV에 등재되지 않은 점은 아직 대규모 표적이 되지는 않았음을 보여줍니다. 노출된 공격 표면은 SIMATIC S7‑PLCSIM Advanced가 수신하는 UDP 멀티캐스트 포트와 해당 트래픽을 처리하는 메모리 할당 로직이며, 이 엔드포인트만 접근 가능하면 서비스 거부(DoS)를 유발할 수 있습니다. 따라서 난이도는 “hard”으로 평가되지만, 네트워크 접근성 및 구성 전제 조건이 충족될 경우 실현 가능한 공격 경로가 명확합니다.

• PLCSIM Advanced 프로세스 메모리 사용량 급증 → 응답 정지 또는 비정상 종료.
• 서비스 재시작 필요 → 테스트·시뮬레이션 일정 차질, 생산 라인 가용성 저하(간접적 사업 영향).
• 데이터 손실 없음, 시스템 자체 변형도 없으며 물리적 장비는 정상 작동.

• CWE‑404 (Improper Resource Shutdown or Release) – 메모리/버퍼 관리 부재가 DoS를 초래함.
• 추정: 동일 LAN에 존재하는 다른 Siemens 제품에서 인증 우회(CWE‑284 등) 취약점이 있다면, PLCSIM 장애 후 PLC/HMI 간 제어 흐름을 방해하거나 추가 명령 주입 공격으로 확장될 가능성이 있음. 다만 현재 보고된 CVE에서는 직접적인 체이닝 증거가 없으며, DoS 자체가 독립적인 위협이다.

• 네트워크 레벨: IDS/IPS에서 dst IP = PLCSIM host AND dst MAC in 01:00:5e:* (멀티캐스트) AND UDP 트래픽이 짧은 시간(예: 5 s) 내에 평균 PPS > 정상값(수백 pps) 초과 시 경보.
• 호스트 레벨: PLCSIM 프로세스 메모리 사용량 급증, 로그에 “memory allocation failed” 또는 “OutOfMemory” 메시지 기록, 서비스 포트(TCP 102 혹은 해당 UDP 멀티캐스트 포트) 응답 지연/타임아웃.

1. 즉시 조치
   • 스위치·방화벽에서 대상 호스트로 들어오는 모든 멀티캐스트(224.0.0.0/4) 트래픽을 차단하거나, QoS/Rate‑Limit으로 초당 500 pps 이하로 제한한다.
   • 허용된 PLC/HMI 간에만 필요한 멀티캐스트 그룹(IP·포트)을 ACL로 명시하고, 그 외 트래픽은 차단한다.
2. 장기 조치
   • Siemens에서 제공하는 패치가 있다면 즉시 적용하고, 제품 설정 메뉴에서 “멀티캐스트 수신 비활성화” 옵션을 활성화한다(추정).
   • PLCSIM 인스턴스를 별도 VLAN에 격리하고, 운영·테스트 환경을 물리적으로 분리하여 공격 표면을 최소화한다.
   • 메모리 사용량 및 네트워크 트래픽을 지속 모니터링하여 이상 징후가 포착되면 자동 알림 체계를 구축한다.

우선순위 근거: 다중 소스 교차검증 결과(신뢰도 1.0)와 CVSS 7.4·high 등급, EPSS 0.00163(실제 악용 확률은 낮지만 ‘hard’ 난이도) 및 KEV 미등재를 종합해 이번 주 내 대응(scheduled)으로 지정됨.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.4 · non-KEV · EPSS=0.00163 · exploit=hard · in_scope=None