[방어] 분석 — CVE-2026-63033

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

• 공격자는 IEC 60870‑5‑104 (IEC‑104) 네트워크에 정상적인 I‑frame을 전송하되, Object Count 필드에 실제 ASDU 바디에 들어갈 수 있는 최대 객체 수보다 큰 값을 선언한다.
• 파서의 InformationObject_ParseObjectAddress 함수가 선언된 개수만큼 주소를 읽으며, 버퍼 경계 검증이 없으므로 힙 영역을 1바이트 초과해 읽는다.
• 이 메모리 오버플로우는 서비스 거부(DoS) 또는 추후 코드 실행으로 이어질 수 있다(공격 단계: 전송 → 파싱 → 오류 발생).

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 외부 공격자가 IEC 60870‑5‑104(보통 TCP 2404) 포트에 직접 접속해도 추가적인 권한이나 사용자 조작 없이 취약 코드를 실행할 수 있음을 의미합니다. 실제 공격 조건은 I‑frame의 객체 개수 필드 값을 허용 범위를 초과하도록 설정하여 전송하면, InformationObject_ParseObjectAddress가 힙 버퍼 끝을 한 바이트 넘어 읽게 되는 단순한 입력 변조만으로 충분합니다. 이 오버리드는 복잡한 메모리 레이

• 성공 시 프로세스 비정상 종료 혹은 메모리 손상이 발생하여 SCADA/EMS 시스템의 가용성이 저하된다.
• IEC‑104는 전력망 운영에 핵심적인 프로토콜이므로, 지속적 서비스 중단은 전력 공급 제어 및 모니터링에 직접적인 위험을 초래한다.

• 동일한 메모리 경계 검증 부재가 보고된 다른 IEC‑104 파서(CWE‑787)와 연관될 수 있다.
• 공격자는 이 취약점을 이용해 **CWE‑20(입력 검증 오류)**을 먼저 발생시킨 뒤, 후속 CWE‑119(버퍼 오버플로우) 로 이어지는 체이닝을 구성할 가능성이 있다.

• 로그 위치: IEC 104 게이트웨이/프록시 혹은 IDS/IPS의 프로토콜 디코더 로그. 주요 필드

  • frame_type = I‑frame (I)
  • asdu_type (ASDU 타입)
  • object_count (선언된 객체 수)
  • asdu_length (실제 바디 길이)

• 탐지 규칙 예시

• SIEM 쿼리 (Splunk)

 1index=iec104 sourcetype=iec104:log
 2| eval max_objs = floor(asdu_length/6)   // 평균 객체 6바이트 가정
 3| where object_count > max_objs
 4| table _time, src_ip, dst_ip, asdu_type, object_count, asdu_length

• 오탐 시나리오 및 튜닝
  • 정상적인 대량 데이터 전송(예: 다중 측정값 동시 보고)에서 object_count 가 크게 설정될 수 있다.
  • 튜닝 방법: 시스템별 허용 최대 객체 수(MAX_OBJ_COUNT)를 사전 조사 후

1. IEC 104 파서 설정(max_object_count)을 255 이하로 제한하고, 초과 시 프레임을 무시하도록 구성합니다.
   난이도 Medium, 서버 재시작 필요; 테스트 트래픽으로 경계값(256) 전송 후 “ignored” 로그 확인.
2. 시스템d 서비스에 Restart=on-failure와 StartLimitIntervalSec=60을 적용해 연속 충돌 시 자동 재시작을 방지합니다.
   난이도 Low, 약간의 다운타임 발생; systemctl status <service>와 journalctl -u <service>로 재시작 횟수 모니터링.
3. OS 차원의 메모리 보호(ASLR, DEP/NX) 및 glibc MALLOC_CHECK_ 옵션을 활성화합니다.
   난이도 Low, 성능 영향 최소; sysctl -a | grep randomize_va_space 등으로 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None