[단독분석] 분석 — CVE-2026-65421

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

인접 네트워크(AV:A)를 통해 MMS 서비스에 조작된 BER 메시지를 전송합니다.
BER 필드의 고정 폭(boolean/integer) 길이 값이 검증되지 않아 비정상적으로 큰 값을 포함하면, 디코더가 힙 버퍼 끝을 넘어 읽어 ‘read‑past‑end’를 발생시키고 프로세스가 비정상 종료됩니다(AV:A/AC:L/PR:N/UI:N).

악용 가능성: AV:A(인접 네트워크)·AC:L(낮은 복잡도)·PR:N(공격자 권한 없음)·UI:N(사용자 상호작용 불필요)라는 CVSS 벡터는, 공격자가 MMS 서비스가 노출된 동일 LAN 혹은 바로 인접한 네트워크에서 임의의 BER 메시지를 전송하기만 하면 된다는 전제조건을 의미합니다. 이때 필요한 트리거는 디코더에 전달되는 길이 필드 값으로, 해당 값을 검증하지 않아 힙 버퍼를 초과 읽게 만드는 것이 핵심이며, 서비스 프로세스가 비정상 종료되어 DoS가 발생합니다. 공격 표면은 MMS 프로토콜을 구현한 엔드포인트와 BER 메시지 파싱 로직에 한정되며, 해당 기능이 외부에 공개되지 않은 경우 실질적인 노출 범위는 제한됩니다. EPSS 점수가 제공되지 않고 KEV에도 등재되지 않아 현재까지 야생에서 악용된 사례가 관측되지 않았으며, 이는 이론적 심각도와 별개로 실제 위협 수준이 낮은 이유를 뒷받침합니다. 다만, 서비스 가용성에 직접적인 영향을 주는 DoS 특성이 있으므로, 인접 네트워크 환경에서 MMS 서비스를 운영하는 조직은 해당 취약점을 중간 정도(Moderate) 위험으로 평가하고, 방어 차원에서 적절한 모니터링과 패치 적용을 고려해야 합니다.

• 기술적 결과: 서비스 프로세스 강제 종료 → 가용성(A)만 높은  (C=0, I=0, A=H) Denial‑of‑Service. 데이터 유출·시스템 장악·횡적 이동은 발생하지 않음.
• 비즈니스 리스크: MMS 서비스 중단으로 인한 가용성 저하, SLA 위반 위험, 핵심 통신 시스템이라면 규제·컴플라이언스 측면에서도 신뢰도 손상 가능.
• 영향 제품·노출 규모: 현재 영향 제품은 “미상”이며, MMS BER 디코더를 사용하는 모든 제품이 잠재적 대상입니다. 다중 소스에서 일관성이 확인돼(교차검증) 신뢰도 1.0 으로 보고됩니다. EPSS는 제공되지 않아(“EPSS=미확보”) 실제 악용 확률을 수치화할 수 없지만, 규칙 기반 평가에 따라 “moderate” 수준의 악용 가능성으로 판단되었습니다.

• 동일한 BER 디코딩 로직에서 발생하는 메모리‑오버플로우(CWE‑125)와 연계된 과거 CVE(예: 다른 프로토콜 디코더의 메모리 손상)와 유사한 공격 패턴을 가질 수 있습니다. 현재 알려진 체이닝 경로는 없으며, 이 취약점 자체만으로도 서비스 중단이 목표가 됩니다.

• 프로세스/시스템 로그: MMS 서비스 프로세스 비정상 종료·core dump 기록.
• 네트워크 트래픽: BER 필드 길이 값이 허용 범위를 초과하는 패킷 감지. 예시 IDS 시그니처(축약):
  bash복사

   1alert tcp $HOME_NET any -> $EXTERNAL_NET 102 [msg:"MMS BER oversized length"; flow:to_server; content:"|02 01|"; depth:2; byte_test:2,>,0x0100,offset 3; classtype:attempted-dos; sid:2026001; rev:1];

• 모니터링: 서비스 재시작 빈도 급증 감시.

• 즉시 조치
  1. 해당 MMS 서비스 프로세스의 비정상 종료 알림을 설정하고, 자동 복구(예: systemd restart) 정책을 적용합니다.
  2. 인접 네트워크 접근을 제한하는 방화벽 규칙을 적용해 MMS 포트에 대한 외부 접속을 차단하거나 허용 범위를 최소화합니다.
• 근본 해결
  • 공급업체가 제공하는 패치를 신속히 적용합니다(패치가 아직 없을 경우, 최신 디코더 라이브러리로 교체).
  • 입력 검증 로직을 추가해 BER 길이 값이 버퍼 크기를 초과하지 않도록 방어 코드를 삽입합니다.

우선순위 판단: CVSS 6.5(중간)·비KEV·EPSS 미확보·악용 가능성 moderate·in‑scope 없음이라는 규칙 기반 로직에 따라 “이번 주 내 scheduled” 대응으로 지정되었습니다. 이는 위험도와 현재 정보 가용성을 종합해 실무자가 신속히 조치를 취해야 함을 의미합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None