[공격] 분석 — CVE-2026-63550

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 공격 표면: MMS 서비스가 TCP 102 포트에서 수신 대기 중일 때, confirmed-request 메시지 안의 BER‑encoded 필드가 파싱됩니다.
• 정찰: 네트워크 스캔으로 포트 102 개방 여부와 MMS 핸드셰이크(Association Request/Response) 패턴을 확인합니다.
• 초기 접근: 정상적인 MMS 세션을 수립한 뒤, confirmed-request 메시지에 길이·오프셋 값을 조작한 BER 요소를 삽입합니다. CVSS 벡터 AV:N/AC:L/PR:L/UI:N와 일치하여 원격에서 별도 권한 없이 바로 전송 가능합니다.
• 실행: 변조된 BER 요소가 디코더 내부의 읽기 포인터를 버퍼 끝을 넘어 이동시키고, 힙 영역을 초과 읽게 됩니다. 이때 MMS 처리 프로세스가 비정상 종료되어 서비스가 중단됩니다 (DoS).
• 지속·영향: 프로세스 재시작 없이 지속적인 요청을 전송하면 서비스 가용성이 장기간 손실될 수 있습니다.

악용 가능성: 이 취약점은 AV:N(네트워크를 통한 원격 접근)·AC:L(공격 복잡도 낮음)·PR:L(낮은 권한만 필요)·UI:N(사용자 개입 없음)이라는 CVSS 벡터에 의해 실제 공격 조건을 그대로 반영합니다. 즉, 공격자는 TCP 102 포트에서 MMS 서비스가 열려 있는 대상에 네트워크 연결만 확보하면, 인증된 저권한 계정이나 기본 자격증명으로도 확인‑요청 메시지 안에 조작된 BER 인코딩 요소를 삽입할 수 있습니다. 이때 필요한 트리거는 “확인‑요청(confirmed‑request) 메시지”의 특정 필드이며, 별도의 시간 제약이나 복잡한 전처리가 없으므로 공격 난이도는 낮다고 평가됩니다. 다만, 성공적인 힙 OOB read를 일으키려면 MMS 프로토콜에 대한 이해와 BER 구조를 정확히 조작할 수 있는 능력이 요구되므로 완전 자동화된 익스플로잇을 구현하기까지는 약간의 전문 지식이 필요합니다. KEV 리스트에 등재되지 않고 EPSS 점수가 제공되지 않아 현재까지 실제 악용 사례가 보고되지 않았지만, 네트워크 노출 정도와 낮은 권한 요구 조건으로 볼 때 이론적 위험도와 별개로 실전에서 충분히 활용될 가능성이 존재합니다. 따라서 방어자는 MMS 서비스가 외부에 노출된 경계에서 해당 프로토콜 메시지를 면밀히 검증

• 성공 시 MMS 서버 프로세스가 강제 종료되며, 해당 포트(102)에서 제공되는 모든 자동화된 제어·감시 기능이 중단됩니다.
• 기밀성·무결성은 직접적으로 침해되지 않으며, 주된 위험은 서비스 가용성(DoS)입니다.

• Memory‑Corruption (CWE‑??): 힙 OOB 읽기 자체가 다른 메모리 손상 결함과 연계될 경우, 추후 RCE로 이어질 가능성이 있습니다. 추정: 동일 프로세스 내에 추가적인 포인터 조작 취약점이 존재한다면 크래시 후 재사용 가능한 메모리 영역을 이용해 코드 실행을 시도할 수 있습니다.
• 프로토콜 인증 우회: MMS 세션은 일반적으로 인증 단계가 있지만, 낮은 권한(PR:L) 요구 조건으로 인해 인증이 이미 완료된 상태라면 추가적인 권한 상승 없이 DoS를 수행할 수 있습니다.

• 네트워크 IDS/IPS에서 port 102 로 들어오는 confirmed-request 메시지 중 비정상적으로 큰 BER 길이 필드(예: 선언 길이 > 실제 페이로드) 를 매칭합니다.
• 시스템 로그에 MMS 데몬이 “heap read out of bounds” 혹은 “segmentation fault” 와 같은 오류가 급증하는 경우를 모니터링합니다.
• 프로세스 감시 도구에서 MMS 서비스 비정상 종료 이벤트와 재시작 빈도 상승을 알림으로 설정합니다.

1. 즉시 차단: MMS 서비스를 사용하지 않는 환경에서는 인바운드·아웃바운드 TCP 102 포트를 방화벽에서 차단합니다.
2. 입력 검증 강화: 애플리케이션 레벨 방화벽이나 프록시를 두어 BER 요소의 길이와 구조가 사양 범위를 초과하지 않도록 필터링합니다.
3. 패치 적용: 공급업체에서 제공하는 보안 업데이트가 발표되는 즉시 적용합니다. (현재 제품 미상이므로 벤더 공지 모니터링 필요)
4. 재시작·감시: 서비스 중단 시 자동 복구를 위한 프로세스 감시(Supervisor, systemd)와 로그 기반 알림을 설정합니다.

교차검증 결과 다중 소스에서 일관성이 확인되었으며(신뢰도 1.0), EPSS는 현재 제공되지 않지만 moderate 악용 난이도와 CVSS 6.5 점수를 고려해 이번 주 내에 대응을 우선순위(scheduled)로 지정했습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None