[단독공격] 분석 — CVE-2026-66369

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 공격 표면: IEC 61850‑GOOSE 파서를 포함한 레이어‑2 프로세스 버스 장비(스위치·PLC·RTU 등). 입력은 Ethernet 멀티캐스트 프레임(01‑0C‑CD‑01‑xx‑xx)이며 인증 절차가 전혀 없으므로 PR:N, UI:N 조건에 부합합니다.
• 트리거 조건: GOOSE 메시지의 특정 필드(예: datSet 길이) 값을 오프‑바이‑원 값으로 설정한 단일 프레임을 전송하면 파서가 내부 버퍼 포인터를 1 바이트 초과 이동시켜 힙 OOB read를 일으킵니다. 이는 CVSS 벡터 AV:A/AC:L/PR:N/UI:N와 직접 대응됩니다.
• 정찰:
  1. LLDP·IEC 61850‑SCL 등 탐색 프로토콜로 GOOSE 트래픽이 흐르는 포트를 식별합니다.
  2. 네트워크 스니핑으로 정상 GOOSE 프레임 구조(헤더·필드 길이)를 파악해 변조 위치를 결정합니다.
• 초기 접근 / 실행:
  1. 위에서 확인한 멀티캐스트 MAC 주소로 단일 프레임을 전송합니다.
  2. datSet(또는 유사 필드) 길이 값을 정상값 + 1 로 설정해 오프‑바이‑원 상황을 만들고, 프레임을 바로 주입합니다.
  3. 파서는 해당 필드를 읽으며 버퍼 포인터를 초과 이동 → 힙 OOB read 발생 (AV:A, AC:L).
  4. OOB read 결과 파서 내부 상태가 비정상화되어 구독 프로세스가 강제 종료되고 서비스 가용성이 상실됩니다 (A:H).
• 권한 획득·지속: 이 취약점 자체는 DoS 전용이며 권한 상승이나 지속성을 제공하지 않습니다. 다만 다수 장비를 동시에 마비시키면 차후 물리적 침입·명령 조작 등 다른 공격으로 이어질 위험이 있습니다.
• 전제 조건·관측 지표:
  • 대상 장치가 최신 펌웨어가 적용되지 않은 상태(추정: 특정 버전)일 것.
  • 네트워크에 멀티캐스트 트래픽 제한이 없어 공격 프레임이 전달될 수 있음.

다중 소스에서 일관성이 확인됐으며(교차검증), EPSS 데이터는 제공되지 않아 실측 악용 가능성은 추정: moderate 수준으로 판단됩니다.

악용 가능성: 이 취약은 AV가 Adjacent (AV:A)로 정의되므로 공격자는 대상 IED와 동일한 LAN·프로세스 버스에 물리적으로 연결된 장치만 있으면 됩니다. 복잡도는 AC:L이며, 인증·사용자 상호작용이 전혀 필요하지 않으므로 PR:N/UI:N 조건을 만족하는 단일 멀티캐스트 프레임만으로 트리거됩니다. EPSS가 아직 제공되지 않았고 KEV에도 등재되지 않았지만, 오프‑바이‑원 경계 오류는 특정 GOOSE 필드(예: stNum·sqNum)만 변조하면 힙 읽기 오류를 일으켜 구독 프로세스를 즉시 종료시키는 DoS 효과가 검증되었습니다. 공격 표면은 IEC 61850 GOOSE 파서를 구현한 이더넷 인터페이스와, 외부에서 조작 가능한 GOOSE 메시지 필드이며, 노출되는 엔드포인트는 해당 IED의 멀티캐스트 수신 포트뿐입니다. 실전에서는 네트워크 스위치에 연결된 악성 장치를 배치하거나 기존 내부 장치를 탈취해 “멀티캐스트 프레임 → 파서 버퍼 오버플로우 → 프로세스 크래시” 순으로 공격을 수행할 수 있습니다. 따라서 인증·권한이 필요 없는 저복잡도 조건과 물리적 인접성만 확보하면 충분히 실현 가능한 중간 수준(Moderate) 위험이라 판단됩니다.

• 구독 프로세스 비정상 종료 → 해당 보호 계통(서브스테이션 자동화·전력 제어)의 실시간 데이터 흐름 차단.
• 서비스 가용성 완전 상실(A:H)로 전력 시스템 운영에 즉각적인 장애 발생 가능.
• 재시작 지연 및 데이터 손실이 2차 안전 위험(보호 로직 오동작)으로 연결될 수 있음.

• 본 결함은 CWE‑125: Out‑of‑bounds Read에 해당합니다. 동일 메모리 풀을 공유하는 다른 IEC 61850 파서 버그(CWE‑416: Use After Free)와 연계될 경우, OOB read가 메모리 내용 누출(CWE‑200)이나 후속 RCE로 확장될 가능성이 있습니다(추정:).
• 현재 공개된 직접적인 CVE 연결은 확인되지 않았으나, 메모리 손상 → 서비스 중단 → 권한 상승이라는 유형·패턴 체인은 다른 산업용 프로토콜 취약점에서도 관찰됩니다.

• IDS/IPS: GOOSE 멀티캐스트 프레임에 비정상적인 datSet 길이 혹은 필드 값(off‑by‑one)을 감지하면 알림.
• 시스템 로그: 구독 프로세스 비정상 종료 이벤트, 핵심 서비스 재시작 기록.
• 스위치 포트 카운터: 특정 MAC 주소에서 급증하는 단일 프레임 전송량 추적.

1. 패치 적용 – 제조사 제공 최신 펌웨어/소프트웨어 업데이트가 최우선 해결책입니다.
2. 네트워크 분리 – GOOSE 트래픽을 전용 VLAN에 격리하고, 포트‑보안(MAC‑filtering) 및 STP 제한으로 불필요한 멀티캐스트 유입 차단.
3. 입·출력 검증 강화 – 장비 측에서 GOOSE 파서 입력 길이 검사를 추가하도록 설정(가능 시).
4. 모니터링 – 위 탐지 지표를 기반으로 실시간 알림 체계 구축 및 비정상 종료 시 자동 재시작 스크립트 운영.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None