[단독방어] 분석 — CVE-2026-56758

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

공격자는 MMS 연결 설정 단계에서 ACSE 계층의 AARQ PDU를 조작합니다. 호출 AP title 필드에 길이값을 0 또는 1로 지정하면 파서가 힙 버퍼 끝을 넘어 읽게 되어 메모리 손상이 발생합니다. 이 과정은 네트워크 기반이며, 원격에서 인증 없이(프리‑인증) 수행될 수 있습니다.

악용 가능성: 이 취약점은 AV = Adjacent(인접 네트워크)로, 공격자는 MMS 서비스를 제공하는 장치와 동일 LAN 혹은 직접 연결된 네트워크에 접근해야 합니다. AC = Low이므로 복잡한 사전 준비 없이 단순히 길이가 0 또는 1인 필드 값을 포함한 AARQ PDU를 전송하면 되며, PR = None·UI = None이라 인증이나 사용자 동작이 전혀 요구되지 않습니다. 따라서 공격자는 네트워크 경계만 통과하면 별도의 권한 상승 절차 없이 바로 악용할 수 있는 낮은 복잡도를 가집니다. EPSS가 현재 제공되지 않고 KEV 리스트에도 포함되지 않은 점은, 공개된 실증적 악용 사례가 거의 없으며 위협 인식이 제한적임을 의미합니다. 그럼에도 불구하고 취약 로직은 ACSE 레이어에서 호출 AP 타이틀의 길이 값을 조작해 힙 버퍼를 초과 읽게 만들므로, 성공 시 메모리 손상·원격 코드 실행 등 심각한 영향을 미칠 수 있습니다. 공격 표면은 IEC 61850 기반 산업 장비가 사용하는 MMS 프로토콜(주로 TCP / 102 포트)이며, AARQ PDU를 처리하는 모든 엔드포인트가 해당 취약에 노출됩니다.

취약점이 성공적으로 악용되면 파서가 힙 메모리를 오버플로우하여 서비스 거부(DoS) 혹은 임의 코드 실행으로 이어질 가능성이 있습니다. 현재 CVSS 벡터에 따르면 기밀성·무결성은 영향을 받지 않으며 가용성만이 손상됩니다.

• 동일한 ACSE/MMS 스택에서 발생한 과거 메모리‑오버플로우(CWE‑121)와 결합하면 원격 코드 실행 체인이 완성될 수 있습니다.
  (구체적인 CVE 번호는 확인되지 않아 언급하지 않습니다.)

• 로그 지표: MMS 서버 또는 IEC 61850 스택이 기록하는 AARQ 이벤트 로그에 callingAPTitleLength 필드가 0 혹은 1로 표시되는 경우.
  • 예시 로그 필드: timestamp, srcIP, dstIP, protocol=MMSpdu, aarqCallingAPTitleLen.
• SIEM 쿼리 예시 (Elastic Kibana DSL):
  text복사

   1{
   2  "bool": {
   3    "must": [
   4      { "match_phrase": { "message": "AARQ" }},
   5      { "range": { "aarqCallingAPTitleLen": { "lte": 1 }}}
   6    ],
   7    "filter": [{ "term": { "protocol": "MMS" }}]
   8  }
   9}

• IDS/IPS 서명 예시 (Snort):
  text복사

   1alert tcp any any -> any 102 (msg:"MMS AARQ zero‑length calling AP title"; flow:established,to_server;
   2    content:"|A0 01|"; offset:0; depth:2; byte_test:1,>,0,0,relative; sid:1000001;)

• 오탐 튜닝: 정상적인 짧은 AP title(예: 길이 1) 사용 사례가 존재할 수 있으므로, 서명에 추가 조건을 붙여 callingAPTitle 내용 검증(예: 비어 있거나 비정상적인 문자 패턴) 또는 해당 세션이 인증된 내부 호스트에서만 허용하도록 필터링합니다.

• 즉시(긴급 차단)

  • 외부 IP가 MMS 포트 102에 접근하는 것을 방화벽 ACL로 차단한다.
    • 구현 난이도: ★★ (방화벽 정책 추가만으로 가능)
    • 운영 영향: 외부 시스템이 MMS 서비스를 이용하지 못하게 되므로, 해당 서비스가 외부 파트너와 연동되는 경우 가용성에 영향을 줍니다.
    • 검증 방법: 차단 규칙 적용 후 tcpdump 로 포트 102 트래픽이 차단됐는지 확인합니다.

• 단기(완화)

  • MMS 서버 설정에서 ACSE 파서의 “strict length checking” 옵션을 활성화하거나, 호출 AP title 길이가 0·1인 요청을 즉시 거부하도록 애플리케이션 레벨 필터를 추가한다.
    • 구현 난이도: ★★★ (제품마다 설정 위치가 다름)
    • 운영 영향: 정상적인 짧은 제목 사용 환경에서는 서비스 오류가 발생할 수 있어 테스트 후 적용 필요합니다.
    • 검증 방법: 정상/비정상 AARQ 요청을 시뮬레이션해 로그에 reject 메시지가 남는지 확인합니다.

• 근본(해결)

  • 벤더에서 제공하는 ACSE/MMS 스택 패치를 적용하거나, 최신 버전의 IEC 61850 라이브러리(예: libIEC61850)로 업그레이드한다.
    • 구현 난이도: ★★★★ (시스템 재배포·테스트 필요)
    • 운영 영향: 서비스 중단 시간과 호환성 검증이 요구됩니다.
    • 검증 방법: 패치 적용 후 동일한 AARQ 변조 테스트를 수행해 메모리 손상이 재현되지 않음을 확인합니다.

• 잔여 리스크

  • 패치가 배포되기 전까지는 위 즉시·단기 조치를 유지해야 하며, 외부 MMS 트래픽을 완전히 차단하지 않은 경우 여전히 탐지 기반 방어에 의존하게 됩니다.

• 인시던트 대응 플레이북

  1. SIEM 알람 발생 시 srcIP, dstIP 확인 → 비인가 외부 IP이면 즉시 ACL 추가.
  2. 해당 세션의 전체 패킷 캡처를 확보하고, AARQ PDU 구조를 분석해 길이 필드가 0·1인지 검증.
  3. 로그에 aarqCallingAPTitleLen <= 1 기록 여부 확인 → 오탐이면 정상 트래픽으로 분류 후 룰 튜닝.
  4. 패치 적용 일정과 현재 차단/완화 상태를 문서화하고, 서비스 영향 평가 후 단계적 복구 진행.

[교차검증] 다중 소스에서 일관된 정보가 확인되어 보수적인 값 채택 없이 그대로 사용했습니다.
[실측 악용예측] EPSS는 제공되지 않아 실측 데이터가 없으며, 벡터와 중간 수준의 exploitability를 고려해 moderate 등급으로 판단되었습니다.
[우선순위 결정] CVSS 6.5·non‑KEV·EPSS 미확보·exploit moderate인 점을 규칙 기반으로 이번 주 내 스케줄에 포함했습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None