[방어] 분석 — CVE-2026-63035

• 심각도 high · CVSS 8.1 · EPSS 미확보 · 악용난이도 moderate

인증된 OPC UA 클라이언트가 TransferSubscriptions 서비스 호출을 전송하면, 서버는 내부 힙 객체를 해제한 뒤에도 해당 포인터를 사용한다. 공격자는 조작된 SubscriptionId와 재전송 패킷을 반복 전송해 해제된 메모리를 참조하게 만들고, 이를 통해 프로세스 크래시(DoS) 혹은 임의 코드 실행을 유도한다.

• 서비스 가용성 상실: 서버 프로세스가 비정상 종료되어 OPC UA 엔드포인트 전체가 다운된다.
• 잠재적 원격 코드 실행: 성공적인 메모리 오염 시 공격자는 악성 코드를 삽입해 권한 상승된 쉘을 얻을 수 있다. (현재 CVSS는 Confidentiality = N, Integrity = H, Availability = H)

• 동일 OPC UA 스택에서 발생하는 다른 메모리 관리 결함(예: 이전 버전의 Read/Write 서비스 UAF)과 조합하면 권한 상승 및 지속성 확보가 가능하다.
• 외부 공격자가 사전에 획득한 인증 토큰을 이용해 이 취약점을 연계 사용하면, 네트워크 경계 밖에서도 악용이 확대될 수 있다.

• 로그 지표

  • open62541 프로세스 로그: "TransferSubscriptions request failed" 혹은 "invalid subscription id"와 같은 메시지가 발생할 때.
  • 시스템 이벤트 로그: process_exit with signal SIGABRT or SIGSEGV from open62541 binary.
  • 네트워크 흐름 로그: OPC UA TCP 포트(4840)에서 MessageType = MSG 및 CommandId = TransferSubscriptions가 비정상적으로 짧은 간격(≤ 1 s)으로 연속 발생.

• SIEM 탐지 규칙 예시

  1. 프로세스 크래시 감지

 1SELECT *
 2FROM syslog
 3WHERE program = 'open62541'
 4  AND (msg LIKE '%SIGABRT%' OR msg LIKE '%SIGSEGV%')

1. TransferSubscriptions 비정상 패턴

 1SELECT src_ip, COUNT(*) AS req_cnt
 2FROM netflow
 3WHERE dst_port = 4840
 4  AND payload MATCHES /TransferSubscriptions/
 5GROUP BY src_ip
 6HAVING req_cnt > 20   // 20건/분 초과 시 경보

1. 오류 로그 정규식
   • Regex: (?i)TransferSubscriptions.*(failed|invalid subscription)

• 오탐 튜닝
  • 정상 운영 환경에서 구독 전송이 빈번한 경우, 임계값을 req_cnt > 100 등으로 상향하거나, 특정 신뢰 IP(예: 내부 PLC)에 대해 제외(whitelist)한다.
  • 프로세스 크래시 알림은 다른 원인(메모리 부족)과 구분하기 위해 코어 덤프 발생 여부를 추가 조건으로 검증한다.

• 즉시(긴급 차단)

  • 네트워크 레벨에서 OPC UA 서버의 TransferSubscriptions 요청을 차단한다. 방화벽 ACL에 dst_port = 4840 && payload contains "TransferSubscriptions"를 DROP 규칙으로 추가.
    구현 난이도: 낮음 – 기존 방화벽 정책에 문자열 매칭 옵션만 삽입하면 된다.
    운영 영향: 해당 서비스 기능(구독 전송) 전체가 중단되지만, 기본 데이터 읽기/쓰기에는 영향 없음.
    검증 방법: 차단 규칙 적용 후 tcpdump로 패킷이 DROP 되는지 확인하고, 정상 클라이언트에서 구독 전송 시도시 오류 반환을 확인한다.

• 단기(완화)

  • 인증된 클라이언트를 제한: OPC UA 서버 설정 파일(open62541.conf)에서 allow_anonymous = false 및 access_control_list에 신뢰 IP만 허용하도록 수정.
    구현 난이도: 중간 – 설정 파일 재로드 필요, 서비스 재시작 시점 조율.
    운영 영향: 기존 인증된 외부 파트너가 차단될 수 있어 사전 협의 필요.
    검증 방법: 허용된 IP에서만 정상적인 TransferSubscriptions 호출이 성공하고, 비허용 IP에서는 연결 거부 로그가 기록되는지 확인한다.

  • 모니터링 강화: 위 탐지 규칙을 활성화하고, 알림 채널(Slack/Email)로 실시간 전파하도록 설정한다.
    구현 난이도: 낮음 – SIEM 정책 추가만으로 가능.
    운영 영향: 경보 노이즈 증가 가능성 있으니 임계값 튜닝 권고.

• 근본(해결)

  • 취약한 버전(1.3.0 ~ 1.5.4, master)에서 open62541 최신 패치(예: 1.6.0 이상)로 업그레이드한다. 공식 릴리즈 노트에 해당 UAF 수정이 포함되어 있다.
    구현 난이도: 높음 – 바이너리 교체 및 의존성 재검증, 서비스 중단 시간 필요.
    운영 영향: 서버 재시작으로 짧은 다운타임 발생; 새로운 버전에서 API 호환성 검토 필요.
    검증 방법: 업그레이드 후 동일 테스트 시나리오(정상 TransferSubscriptions)에서 크래시가 재현되지 않는지 확인하고, 기존 로그에 UAF 관련 오류가 사라졌는지 모니터링한다.

• 잔여 리스크

  • 패치 적용 전까지 위 즉시 차단과 ACL 제한을 유지하지 않으면 서비스 중단 위험이 남는다.
  • 최신 버전에서도 다른 메모리 관리 결함이 존재할 가능성이 있으므로, 정기적인 코드 리뷰 및 펜테스트를 병행한다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 해당 src_ip와 로그 상세 확인.
  2. 프로세스 크래시 여부 파악 → core dump 분석으로 UAF 트리거 재현 여부 판단.
  3. 즉시 차단 규칙 적용 (ACL) 및 영향 범위 평가.
  4. 인증된 클라이언트 리스트 검토 후 ACL 업데이트.
  5. 패치 일정 수립·배포, 배포 후 정상 동작 확인.

이 보고서는 다중 소스 교차검증을 통해 일관성을 확인했으며([교차검증] → “다중 소스에서 일관성이 확인됐다”), EPSS 데이터가 존재하지 않음에도 moderate 수준의 악용 가능성(실측 예측)과 CVSS 8.1을 근거로 이번 주 내 우선순위(scheduled)를 부여했습니다([우선순위 결정] → “CVSS=8.1·non‑KEV·exploit=moderate”).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None