[분석가] 분석 — CVE-2026-50103

• 심각도 medium · CVSS 6.5 · EPSS 0.00165 · 악용난이도 hard

네트워크에 인접한 공격자가 TLV 값이 비정상적인 GOOSE(또는 R‑GOOSE) 프레임을 전송하면 파서가 NULL 포인터를 역참조하여 애플리케이션이 크래시한다. 벡터 AV:A/AC:L/PR:N/UI:N에 따라 권한·사용자 상호작용 없이 바로 실행 가능하며, 결과는 가용성 손실(A:H)이다. 멀티캐스트 전파 특성으로 동일 서브넷 외에도 스위치 레벨에서 프레임을 삽입할 수 있다.

악용 가능성: 이 취약은 AV:A 로 네트워크 인접 공격자만 있으면 되고 AC:L 로 복잡도가 낮으며 PR:N·UI:N 으로 인증이나 사용자 개입 없이도 이용할 수 있습니다. 다만 실제 악용을 위해서는 IEC 61850‑G​OOSE 프로토콜 스택에 대한 깊은 이해와, 변조된 TLV 값을 포함한 GOOSE 프레임을 서브스테이션 네트워크에 삽입할 능력이 필요하므로 일반 공격자에게는 난이도가 다소 높게 평가됩니다. EPSS = 0.00165 라는 실측 확률은 매우 낮지만 완전히 무시할 수 없으며, KEV 에 등재되지 않아 현재까지 야생에서의 악용 사례는 관측되지 않았습니다. 트리거 조건은 “잘못된 TLV 값을 담은 GOOSE 프레임 전송”이며, 공격 표면은 GOOSE 프레임을 파싱하는 모든 구독 애플리케이션 및 해당 L2 GOOSE/R‑GOOSE 공유 파서가 노출되는 엔드포인트입니다. 따라서 네트워크 인접 수준에서 IEC 61850 장비를 운영 중인 조직이 목표가 될 가능성이 존재하지만, 실제 공격 구현에는 전문 지식과 환경 접근 권한이 필수적입니다. 이러한 점을 종합하면, 이 취약은 “hard” 등급에 부합하는 난이도와 제한된 악용 가능성을 보이며, 위험도 평가는 낮은 편이나 표적화된 위협 시나리오에서는 주의가 필요

• 기술적 위험: GOOSE 메시지를 구독하는 IEC 61850 기반 보호 계전·자동화 애플리케이션이 비정상 종료(DoS)하고, 복구 지연 시 전력 설비의 보호 기능이 일시 중단될 수 있다. 단일 패킷으로 다수 IED가 동시에 다운되는 Cascading Failure 위험이 존재한다(동료 의견 반영).
• 비즈니스 리스크: 전력·가스 등 IEC 61850을 운영하는 시설에서 서비스 중단은 전력 공급 차질, 안전 규제 위반 및 신뢰도 손실로 이어진다. 일반 IT 인프라에는 직접적인 영향이 거의 없으며, 위험 범위는 해당 설비를 운영하는 기업에 국한된다(동료 의견 반영).
• 영향 제품·노출 규모: 공개된 영향을 받는 구체적 제품은 없음(미상). 추정: IEC 61850을 구현하고 GOOSE 파싱 로직을 포함하는 서브스테이션 IED, SCADA/보호 계전 소프트웨어가 대상일 가능성이 있다(추정).

NULL‑pointer dereference에 의한 서비스 거부는 CWE‑467 등과 유사하며, 크래시 후 재시작 로직이 부실할 경우 추가적인 권한 상승이나 코드 실행으로 연계될 가능성은 현재 확인되지 않았다.

• 네트워크 경계에서 TLV length 필드가 실제 페이로드보다 큰 GOOSE 프레임을 식별·로그화하고, 해당 패턴에 대해 IDS/IPS 알람/차단 규칙을 적용한다.
• 애플리케이션 로그에서 세그멘테이션 폴트·크래시 이벤트 발생 시점을 모니터링한다(예: “null pointer dereference” 혹은 프로세스 비정상 종료).
• EPSS 0.00165와 CVSS 6.5를 근거로, 악용 가능성은 낮지만 가용성 손실이 심각하므로 위 지표에 기반한 실시간 모니터링을 권장한다(EPSS 해석 포함).

1. 즉시 조치: 전체 GOOSE 트래픽 차단 대신, malformed TLV 값을 가진 프레임에 대한 대상형 IPS 서명/ACL을 적용해 악의적 패킷만 차단한다(DGX_C 의견 반영).
2. 패치 및 업데이트: 벤더가 제공하는 보안 패치를 신속히 배포하고, 파서 입력 검증 로직 강화 여부를 확인한다.
3. 운영 대비: 크래시 발생 시 자동 재시작·복구 절차를 구축하고, 로그‑기반 모니터링과 알람 체계를 마련한다.
4. 네트워크 설계: GOOSE 트래픽이 전파되는 VLAN/스위치 레벨에서 멀티캐스트 필터링 및 포트 보안을 적용해 인접 공격자의 삽입 경로를 최소화한다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.00165 · exploit=hard · in_scope=None