[단독방어] 분석 — CVE-2026-63362

• 심각도 medium · CVSS 5.9 · EPSS 미확보 · 악용난이도 moderate

공격자는 OPC UA PubSub용 UDP 포트(기본 4840)로, 서명 길이 필드를 조작한 짧은 패킷을 전송합니다. 라이브러리 내부에서 unsigned integer underflow가 발생해 메모리 연산 오류를 일으키고, 프로세스가 비정상 종료되어 서비스 거부(DoS)가 발생합니다.

악용 가능성: 이 취약점은 AV:N (네트워크를 통한 원격 접근)으로 UDP 포트를 열어두고 있는 모든 open62541 기반 OPC UA PubSub 엔드포인트가 공격 표면에 포함됩니다. AC:H (높은 복잡도) 때문에 성공적인 악용을 위해서는 서명 검증 로직에서 사용되는 unsigned integer 필드를 정확히 계산한 뒤, 언더플로우를 일으키는 비정상적인 값과 길이를 가진 UDP 패킷을 직접 구성해야 합니다. PR:N (특권 없음) 및 UI:N (사용자 상호작용 없음) 조건으로 인증이나 사용자 행동이 요구되지 않지만, 패킷 구조와 체크섬 검증을 회피할 수 있는 상세한 프로토콜 지식이 전제됩니다. EPSS가 현재 제공되지 않고 KEV에도 등재되지 않았으나, CVSS 벡터가 보여 주듯 네트워크 접근만으로 서비스 거부(DoS)를 유발할 수 있기 때문에 이론적 심각도와 별개로 실제 위협 가능성이 존재합니다. 따라서 공격 난이도는 “높은 복잡도 + 정확한 패킷 조작”이라는 전제하에 moderate 등급으로 평가되며, 노출된 UDP 포트와 PubSub 서명 검증 파라미터가 주요 공격 표면이 됩니다.

패킷이 처리되는 순간 open62541 기반 OPC UA PubSub 서버가 강제 종료됩니다. 결과적으로 해당 UDP 포트의 실시간 데이터 전송·수신이 중단돼, 산업 자동화 시스템 등에서 데이터 흐름이 끊기고 복구 작업이 필요합니다.

유사한 정수 언더플로우가 이전 open62541 버전에서도 보고된 바 있어, 동일 패턴을 이용해 다중 OPC UA 서버를 동시에 타깃팅하거나 UDP 기반 DDoS 트래픽과 결합해 방어 우회를 시도할 가능성이 있습니다.

로그 지표

• 애플리케이션 로그(syslog, journalctl 등) – signature verification failed 혹은 underflow detected 문자열이 포함된 항목.
• 커널 로그 – /var/log/kern.log 또는 dmesg에 udp: malformed packet (size < expected) 경고가 기록됨.
• 프로세스 상태 – open62541 서비스가 비정상 종료(failed)하거나 재시작 루프를 보일 때.

SIEM 탐지 규칙 예시

오탐 튜닝

• 정상 OPC UA Discovery 패킷은 최소 20 바이트이므로, 규칙 1의 임계값을 pkt_len < 12 로 낮추면 정상 트래픽 오탐이 크게 감소합니다.
• 규칙 2에서 “underflow”가 포함되지 않은 일반 서명 검증 실패 로그는 제외하도록 부정형 정규식(!~ /underflow/)를 추가합니다.

검증 방법

1. 위 조건에 맞는 테스트 패킷을 전송해 SIEM 알림이 발생하는지 확인합니다.
2. 정상 PubSub 메시지를 전송했을 때 해당 규칙이 트리거되지 않는지 검증합니다.

• 애플리케이션 레벨 패킷 길이 검증 강화: open62541 UDP 수신 로직에 최소 서명 구조 길이(예: ≥12 바이트) 검사 추가 후, 조건 미충족 시 패킷을 바로 폐기하고 packet dropped – invalid length 로그를 남깁니다.
  • 구현 난이도: ★★ (코드 수정·재컴파일 필요)
  • 운영 영향: 약간의 레이턴시 증가와, 잘못된 정상 패킷이 차단될 위험이 있으므로 테스트 후 임계값을 조정합니다.
  • 검증: 정상 PubSub 메시지와 의도적으로 짧게 만든 패킷을 각각 전송해 로그에 기대하는 문자열이 기록되는지 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.9 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None