[단독방어] 분석 — CVE-2026-66720

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

GOOSE(IEC 61850) 구독 컴포넌트가 수신한 레이어‑2 멀티캐스트 프레임의 UTC 타임스탬프 필드를 충분히 검증하지 않아, 타임스탬프 길이가 규격보다 짧은 프레임을 전송하면 힙 OOB Read가 발생합니다. 이 오류는 프로세스를 비정상 종료시켜 DoS 상태를 만들게 됩니다.

악용 가능성: AV가 Adjacency Network(AV:A)인 만큼 공격자는 대상 시스템과 동일한 LAN 또는 서브넷에 물리적으로 연결돼 있어야 합니다. AC:L(낮은 복잡도)와 PR:N(권한 불필요), UI:N(사용자 상호작용 없음)으로 볼 때, 공격자는 특수히 조작된 GOOSE 프레임을 단순히 전송하기만 하면 되므로 구현 난이도는 매우 낮습니다. 이 취약은 IEC 61850‑GOOSE(EtherType 0x88B8)의 멀티캐스트 레이어‑2 메시지에서 UTC 타임스탬프 필드가 충분히 검증되지 않아 발생하므로, 공격 표면은 해당 프로토콜을 수신·처리하는 모든 스위치·RTU·PLC와 같은 네트워크 장비의 GOOSE 구독자 컴포넌트입니다. 트리거 조건은 “타임스탬

취약점이 성공적으로 악용되면 GOOSE 구독 서비스가 충돌하여 해당 보호 장비(예: 변전소 자동화 스위치, 서브스테이션 서버)의 통신 기능이 중단됩니다. 직접적인 데이터 유출·변조는 없으며, 가용성 손실이 주요 위험입니다.

• 메모리‑코루전 유형(CWE‑124)과 연계된 다른 IEC 61850 스택 버그들(예: 타임스탬프 파싱 오류)
• 네트워크 레이어에서 악의적인 멀티캐스트 프레임을 이용한 DoS 체이닝 가능성(공통 공격 패턴: “Malformed L2 multicast”).

로그·시그니처 위치

1. 스위치/라우터 NetFlow / sFlow – ethertype=0x88B8 (GOOSE) 필드와 프레임 길이(frame_len) 기록.
2. IDS/IPS 패킷 캡쳐 로그 – GOOSE 페이로드 중 UTC 타임스탬프 바이트 오프셋을 추출한 goose_timestamp_len.
3. 호스트 시스템 로그 – 해당 프로세스(goose_subscriber)의 비정상 종료 (segfault, core dumped) 이벤트.

SIEM 탐지 규칙 예시 (Splunk)

 1index=network sourcetype="pcap" ethertype=0x88B8
 2| eval ts_len = len(substr(payload, 20, 8))   // 타임스탬프 시작 오프셋 가정
 3| where ts_len < 8
 4| table _time src_mac dst_mac ts_len

IDS/IPS 정규식 예시 (Suricata)

 1alert ethernet $HOME_NET any -> $EXTERNAL_NET any (msg:"GOOSE malformed timestamp"; ether_type:0x88B8; content:"|00 00 00 00 00 00 00 00|"; depth:8; offset:20; distance:0; within:8; classtype:attempted-dos; sid:1000001;)

(위 content는 정상 길이 8바이트를 기대하므로, 실제 프레임에서 해당 바이트가 부족할 경우 매칭되지 않음 → !content 로 반전 가능.)

오탐 튜닝

• 일부 레거시 보호 장비가 타임스탬프 필드를 옵션으로 비활성화하는 경우 정상 트래픽이 탐지될 수 있습니다.
  • 튜닝 방법: 허용 목록(whitelist)으로 알려진 벤더 MAC 주소·IP를 src_mac/src_ip 조건에 추가하거나, goose_message_type 필드가 특정 값(GOOSE_DataSet)인 경우만 검사하도록 제한합니다.

1. IDS/IPS Deep Packet Inspection 활성화 – 위 SIEM/Suricata 규칙을 적용해 타임스탬프 길이가 비정상인 프레임을 실시간으로 차단합니다.
   • 난이도 ★★★, 영향 낮음, 검증 시그니처 매치 로그 확인.
2. 프로세스 감시 – systemd 혹은 monit 등으로 goose_subscriber 프로세스 비정상 종료 시 자동 재시작 및 알림 설정.
   • 난이도 ★☆☆, 영향 미미, 검증 서비스 복구 로그 확인.
3. 트래픽 레이트 제한 – GOOSE 멀티캐스트에 대한 초당 프레임 수를 제한(storm-control)하여 대량 악성 프레임 전송 시 네트워크 차단.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None