[공격] 분석 — CVE-2026-49035

• 심각도 high · CVSS 8.1 · EPSS 0.00369 · 악용난이도 hard

• 공격 표면
  • 노출 엔드포인트: MMS 서비스의 Initiate 요청 (TCP / UDP 포트는 제품에 따라 다름)
  • 파라미터: Content‑Location, Message‑ID 등 길이 검증이 없는 필드
• 트리거 조건
  • 원격에서 네트워크 접근 가능(NETWORK = N)
  • 공격자는 크기가 과도하게 큰 MMS Initiate 페이로드를 전송하여 힙에 할당된 버퍼를 초과한다.
  • ASLR가 비활성화된 환경에서는 오버플로우된 데이터가 인접 메모리(함수 포인터·힙 메타데이터)를 덮어써 RCE가 가능하고, ASLR 활성화 시에도 서비스 충돌·DoS가 발생한다.
• 공격 단계
  1. 정찰 – 포트 스캔/프로토콜 핸드쉐이크로 MMS 서비스를 식별하고, 정상 Initiate 요청 크기를 파악한다.
  2. 초기 접근 – 과도한 길이의 필드를 포함한 MMS Initiate 패킷을 전송한다 (AV:N, AC:H 요구).
  3. 실행·권한 획득 – 힙 오버플로우가 함수 포인터를 조작하면, 서비스 프로세스 권한(일반적으로 시스템 또는 관리자)으로 임의 코드를 실행한다. ASLR 비활성화 시 바로 RCE, 활성화 시 메모리 손상·서비스 중단을 유발한다.
  4. 지속 – 성공적인 코드 실행 후 백도어/계정 생성 등 지속 메커니즘을 심는다(추정).
• CVSS 벡터와 실제 조건 매핑
  • AV:N → 원격 네트워크 접근만 필요함.
  • AC:H → 오버플로우 트리거에 높은 복잡도(특정 크기·형식) 요구.
  • PR:N, UI:N → 인증·사용자 상호작용 불필요.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는 AV:N(원격)이며, 인증이 필요 없는 PR:N으로 공격자는 사전 인증 없이도 MMS Initiate 요청을 전송할 수 있습니다. 그러나 AC:H(높은 난이도)로 평가된 이유는 성공적인 악용에 heap‑based 버퍼 오버플로우를 정확히 트리거하기 위해 복잡한 메모리 레이아웃 분석과 ASLR 비활성화가 요구되기 때문입니다. 실제 EPSS 0.00369이라는 매우 낮은 수치는 현재까지 보고된 실전 악용 사례가 거의 없음을 의미하고, KEV에 등재되지 않은 점도 위협이 제한적임을 뒷받침합니다. 공격 표면은 MMS 서비스가 제공하는 /Initiate 엔드포인트와 해당 요청 내 payload 필드이며, 이 파라미터를 조작해 힙 영역에 과다 데이터를 삽입해야 합니다. ASLR이 활성화된 환경에서는 메모리 손상이 주로 서비스 거부(DoS) 수준으로 제한되며, 완전한 원격 코드 실행(RCE)은 ASLR을 끈 시스템에서만 재현되었습니다. 따라서 이 취약점은 이론적으로는 원격 RCE가 가능하지만, 실제 공격자는 복잡한 메모리 조작과 환경 설정 회피라는 높은 장벽에 직면하게 됩니다.

• 원격 코드 실행 – 서비스가 실행 중인 권한으로 임의 코드를 실행할 수 있음(관리자/루트 수준일 경우 전체 시스템 장악).
• 서비스 거부 – ASLR 활성화 환경에서도 힙 손상으로 프로세스 크래시·DoS 발생 가능.

• 유형 기반 연계: 현재 결함은 CWE‑122(Heap‑Based Buffer Overflow)이며, 메모리 주소 누출(CWE‑200 등)과 결합하면 ASLR 우회가 가능하다(추정).
• 일반적인 체이닝 패턴:
  1. 정보 유출 → 메모리 레이아웃 파악 → 힙 오버플로우 이용 RCE
  2. 로컬 권한 상승(CVE‑xxxx‑xxxx 등) → 서비스 계정 탈취 후 시스템 전체 침해

• IDS/IPS에서 비정상적으로 큰 MMS Initiate 페이로드(예: 정상 최대 길이 > 1 KB 대비 10× 이상)를 감지하고 알림.
• 서버 로그에 MMS 파싱 오류·버퍼 오버플로우 경고가 반복적으로 기록되는 경우.
• 메모리 덤프/핵심 파일에서 비정상적인 힙 메타데이터 변조 징후(예: malloc/free 호출 후 세그멘테이션 폴트) 탐지.

• 즉시 조치
  • 신뢰되지 않은 네트워크에서 MMS Initiate 트래픽을 차단하거나 제한한다.
  • 운영 체제와 런타임에 ASLR·DEP를 강제로 활성화한다.
  • 침입 탐지 시스템에 “oversized MMS Initiate” 시그니처를 적용한다.
• 근본 해결
  • 공급업체가 제공하는 패치를 신속히 적용한다(패치 발표 전까지는 위 임시 방어 조치를 유지).
  • 입력 검증 로직을 추가해 모든 MMS 필드 길이를 엄격히 제한하고, 안전한 메모리 복사 함수(memcpy_s 등)로 교체한다.

근거: 다중 소스에서 일관성이 확인됐으며([교차검증] 신뢰도 1.0), EPSS = 0.00369(실측 악용 예측)과 높은 CVSS 8.1을 고려해 이번 주 내에 대응이 scheduled로 결정되었습니다([우선순위 결정]). KEV 미등재·exploit hard 등급도 판단 근거에 반영되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=0.00369 · exploit=hard · in_scope=None