[단독분석] 분석 — CVE-2026-61893

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

• 원리: IEC 60870-5-104 프로토콜의 I-frame 처리 과정에서 발생합니다.
• 경로: 공격자가 TypeID 104 (C_TS_NA_1)를 포함하고 object count가 비정상적으로 높게 설정된 crafted 패킷을 전송합니다.
• 단계: 시스템의 TestCommand_getFromBuffer 함수가 메시지 버퍼의 끝을 넘어 1바이트를 추가로 읽는 Heap-based Out-of-bounds Read(Memory Corruption)를 유발합니다.

악용 가능성: 본 취약점은 네트워크를 통해 인증 없이 접근 가능한 IEC 60870-5-104 프로토콜 엔드포인트가 공격 표면이 됩니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 나타내듯, 특수하게 조작된 I-frame 패킷을 전송하는 것만으로 트리거가 가능하여 공격 난이도는 매우 낮습니다. 특히 TypeID 104(C_TS_NA_1) 메시지의 Object count 값을 비정상적으로 높게 설정함으로써 TestCommand_getFromBuffer 함수가 힙 버퍼 경계를 넘어 1바이트를 읽게 만드는 Out-of-bounds Read 구조를 가집니다. KEV에 등재되지 않았고 EPSS 값이 unavailable 상태인 점으로 보아 현재 야생(In-the-wild)에서의 실제 악용 사례는 미관측된 것으로 판단됩니다. 그러나 제어 시스템 프로토콜의 특성상 공격 전제조건이 단순하고 복잡한 상호작용이 필요 없으므로, 노출된 인터페이스가 존재할 경우 이론적 심각도와 별개로 실질적인 악용 가능성이 매우 높습니다.

• 기술적 위험: 힙 메모리의 경계 밖 데이터를 읽음으로써 프로세스의 비정상 종료(Crash)로 인한 서비스 거부(DoS)가 발생하거나, 추정: 인접한 메모리 영역의 민감 정보가 유출될 가능성이 있습니다. 다만, 단일 바이트 읽기로는 즉각적인 원격 코드 실행(RCE) 가능성은 낮습니다.
• 비즈니스 리스크: 영향 제품이 미상이나, IEC 60870-5-104 표준을 사용하는 전력·가스 등 국가 기반 시설의 제어 시스템일 경우 가용성 저하 및 운영 중단으로 인한 물리적 리스크와 컴플라이언스 위반 문제가 발생할 수 있습니다.
• 노출 규모: 추정: 해당 프로토콜을 구현한 산업용 게이트웨이 및 SCADA 시스템 전반에 걸쳐 잠재적 노출 가능성이 존재합니다.

• 유형 연계: Memory-Corruption 유형의 특성상, 다른 메모리 오염 취약점과 체이닝될 경우 메모리 레이아웃을 파악하는 정보 유출(Information Leak) 단계로 악용되어 보호 기법(ASLR 등)을 무력화하는 데 사용될 수 있습니다.

• 네트워크 레벨: IEC 60870-5-104 트래픽 중 TypeID 104 패킷의 object count 필드 값이 정의된 최대 허용 범위를 초과하여 비정상적으로 큰 값을 가지는지 모니터링합니다.
• 패턴 예시: \x68 (APDU 시작) $\rightarrow$ I-frame 식별 $\rightarrow$ TypeID 0x68(104) $\rightarrow$ Inflated Object Count 필드 검사.

• 즉시 조치: IPS/IDS에서 IEC 60870-5-104 프로토콜의 비정상적인 길이 및 필드 값을 차단하는 시그니처를 적용하고, 제어망 접근 제어를 통해 신뢰되지 않은 IP의 접속을 제한합니다.
• 근본 해결: TestCommand_getFromBuffer 함수 내에서 버퍼 읽기 전 실제 할당된 메모리 크기와 요청된 오브젝트 수의 일치 여부를 검증하는 경계 검사(Boundary Check) 로직을 추가한 패치를 적용해야 합니다.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석하였습니다.
• 실측 악용예측: EPSS 수치는 미확보 상태이나, 공격 난이도가 'easy'이며 네트워크를 통한 접근(AV:N) 및 낮은 복잡도(AC:L)를 가진 점을 고려했습니다.
• 우선순위 결정: CVSS 6.5의 Medium 등급이며 KEV 미등재, EPSS 미확보 상태이므로 규칙에 따라 'scheduled(이번 주 내)'로 우선순위를 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None