[단독분석] 분석 — CVE-2026-65423
The integer overflow in open62541’s UA_Variant handling can lead to remote out-of-bounds writes, so block external OPC UA traffic and apply the upstream patch within this week.
📋 요약
- 심각도 high · CVSS 8.8 · EPSS 미확보 · 악용난이도 moderate
🔍 공격 기법
원격 공격자는 OPC UA 서버의 Write 서비스에 변조된 UA_Variant 구조체를 포함한 패킷을 전송한다.
패킷 내부 arrayDimensions 필드에 32‑bit 정수 범위를 초과하는 값들을 곱해 오버플로우를 일으키면, 계산된 배열 크기가 잘못되어 메모리 out‑of‑bounds write가 발생한다. 인증 필요 없이 네트워크 접근(AV:N)만 있으면 트리거 가능하다.
악용 가능성: AV:N·AC:L·PR:L·UI:N 벡터는 네트워크를 통해 접근 가능하고 공격 복잡도가 낮으며, 최소 권한(일반 사용자)만 있으면 된다는 의미이므로 원격에서 특별한 사전 준비 없이도 악용이 가능합니다. 실제로 open62541의 UA_Variant arrayDimensions 곱셈 과정에서 정수 오버플로가 발생하면, 공격자는 OPC UA 서비스에 전송되는 Variant 구조체의 차원 수를 조작해 메모리 경계를 초과하는 쓰기를 유도할 수 있습니다. 이 취약점은 OPC UA TCP(포트 4840) 혹은 HTTPS(포트 443) 등 표준 엔드포인트가 외부에 노출된 경우 바로 공격 표면이 됩니다; 특히 Read, Write, Browse와 같은 일반적인 서비스 호출에 포함되는 파라미터가 대상입니다. EPSS 값이 제공되지 않고 KEV에도 등재되지 않았지만, CVSS 3.1 점수가 6.5(Moderate) 수준이며 네트워크 기반·저복잡도·저권한 조건을 만족하므로 이론적 심각도가 실제 위협으로 전환될 가능성이 충분히 존재합니다. 따라서 방어자는 해당 OPC UA 엔드포인트가 외부에 노출돼 있거나 인증이 미비한 환경에서 특히 주의를 기울여야 합니다.
💥 영향 분석
- 기술적 위험: 오버플로우에 의해 임의 메모리 영역을 덮어쓸 수 있어 원격 코드 실행(RCE)이나 서비스 중단(DoS)이 발생할 가능성이 있다.
- 비즈니스 리스크: OPC UA는 산업 자동화·제어 시스템에서 광범위하게 사용되므로, 해당 라이브러리를 포함한 제품이 노출될 경우 가용성 손실·생산 라인 중단·안전 규정 위반 위험이 커진다.
- 영향 제품·노출 규모: 현재 영향 제품은 공개되지 않았으며(
미상), open62541를 내장한 모든 애플리케이션이 잠재적 대상이다(추정). 네트워크에 OPC UA 엔드포인트(TCP 4840 등)가 외부에 노출된 경우 모두 위험에 노출된다. - 근거: 다중 소스 교차검증 결과 일관성이 확인됐으며([교차검증]), EPSS는 제공되지 않았지만(
EPSS=미확보) exploit 난이도는 moderate 로 평가되었다([실측 악용예측]). CVSS 3.1 점수 8.8·high 심각도가 적용된다.
🔗 관련 취약점·체이닝
open62541 스택 내 다른 메모리 손상 버그와 결합될 경우 권한 상승이나 추가적인 원격 코드 실행 경로를 제공할 수 있다(추정). 현재 구체적인 CVE 번호는 확인되지 않았다.
🔎 탐지
- OPC UA 서버 로그에서
arrayDimensions값이 비정상적으로 큰 Write/Read 요청을 감시한다. - IDS/IPS 규칙 예시:
payload contains "arrayDimensions" && value > 0x7fffffff→ 경보 발생. - 프로세스가 세그멘테이션 오류(Segfault)로 종료되거나 비정상적인 메모리 접근 로그가 기록될 경우 모니터링한다.
🛡️ 완화 방안
- 즉시 조치: 외부 네트워크에서 OPC UA 포트(기본 4840)를 차단하거나, 의심 패킷을 필터링하는 방화벽 규칙을 적용한다.
- 임시 방어: 라이브러리를 컴파일 시
-fstack-protector-strong,-D_FORTIFY_SOURCE=2등 메모리 보호 옵션을 사용하고, 실행 환경에 ASLR·DEP를 활성화한다. - 근본 해결: open62541 프로젝트에서 제공하는 최신 패치를 적용하거나, 취약점이 수정된 버전으로 업그레이드한다.
우선순위 판단 근거: CVSS 8.8·high, non‑KEV, EPSS 미확보, exploit 난이도 moderate, 범위 미정(in_scope=None)을 종합해 이번 주 내에 조치를 시행하도록 scheduled 로 결정되었다([우선순위 결정]).
⚖️ 위험도 / 우선순위
- 조치: scheduled (이번 주 내)
- 근거: CVSS=8.8 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None