[단독분석] 분석 — CVE-2026-66349
CVE-2026-66349 is a memory‑corruption flaw in an MMS server’s BER decoder that can be triggered remotely to cause a one‑byte heap out‑of‑bounds read and terminate the service process, resulting in denial of service; immediate mitigation is to apply the vendor patch or block malformed MMS traffic.
📋 요약
- 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate
🔍 공격 기법
- 공격자는 인증 없이(Privileges Required: None) 기존 세션에 확장 BER 태그가 포함된 MMS Confirmed Request PDU를 전송합니다.
- 디코더는 경계 검사를 누락해 내부 버퍼 포인터를 잘못 이동시키고, 1 byte 힙 OOB 읽기를 수행합니다.
- 이 오류가 발생하면 MMS 서비스 프로세스가 비정상 종료되어 서비스가 중단됩니다(Impact: Availability‑High).
악용 가능성: 이 취약점은 AV:A(인접 네트워크)이며, 공격자는 MMS 서버와 동일한 LAN 또는 직접 연결된 네트워크에 존재해야 합니다. AC:L(낮은 복잡도)으로, 정상적인 세션을 먼저 수립한 뒤 확장 BER 태그가 포함된 PDU만 변조해서 전송하면 버퍼 경계 검증 결함이 발동하여 1바이트 힙 OOB‑Read가 발생하고 서비스가 비정상 종료됩니다. PR:N(특권 없음)과 UI:N(사용자 개입 없음)으로, 공격자는 별도의 인증이나 사용자의 동작 없이도 즉시 DoS를 유발할 수 있습니다. 현재 KEV 목록에 등재되지 않았으며 EPSS 점수도 제공되지 않아 실제 악용 사례가 관측된 바는 없지만, CVSS 벡터가 보여주는 낮은 난이도와 인접 네트워크 노출을 고려하면 공격 가능성은 이론적으로 충분히 존재합니다. 공격 표면은 MMS 프로토콜이 수신하는 TCP 포트(일반적으로 102)와 해당 엔드포인트에서 파싱되는 BER‑encoded 요청 데이터이며, 특히 확장 태그를 포함한 PDU가 취약점 트리거 조건입니다. 따라서 내부망에 노출된 MMS 서버는 무차별적인 DoS 시도에 대비해 세션 관리 및 입력 검증을 강화해야 합니다.
💥 영향 분석
- 기술적 위험: 본 취약점은 메모리 오염을 일으키지만, 현재 확인된 결과는 힙 OOB 읽기로 인한 프로세스 크래시이며, 데이터 유출·시스템 장악·횡적 이동 등 추가적인 기밀성·무결성 침해는 보고되지 않았습니다.
- 비즈니스 위험: MMS 서비스가 중단되면 가용성이 저하되어 SLA 위반, 고객 신뢰도 하락 및 운영 비용 증가가 발생할 수 있습니다. 특히 규제 대상 산업(예: 금융, 의료)에서는 서비스 중단이 컴플라이언스 위반으로 이어질 가능성도 존재합니다.
- 영향 제품·노출 규모: 현재 영향을 받는 구체적인 제품은 확인되지 않았으나, MMS 서버 구현에 해당 디코더가 포함된 모든 시스템이 대상이 됩니다([교차검증]). 배포 규모는 공개 정보가 없어 추정하기 어렵습니다(추정: 중소규모 기업 및 일부 대기업 환경).
🔗 관련 취약점·체이닝
- BER/DER 파싱 과정에서 경계 검사가 누락된 다른 메모리‑코루전 사례와 유사한 패턴을 보입니다(CWE‑125, CWE‑787).
- 현재 알려진 체이닝 공격은 없으며, 별도 권한 상승·원격 코드 실행으로 연결되는 경우는 확인되지 않았습니다.
🔎 탐지
- 네트워크: IDS/IPS에서 MMS 프로토콜의 Confirmed Request PDU에 비정상적으로 긴 확장 BER 태그(예: 0x9F xx…)가 포함된 패킷을 감시합니다.
- 호스트: MMS 서비스 로그에 “heap out‑of‑bounds read” 또는 “invalid BER tag length”와 같은 오류 메시지가 기록되는지 모니터링합니다.
- 프로세스: 서비스 프로세스 비정상 종료 이벤트를 실시간으로 수집해 알림을 생성합니다.
🛡️ 완화 방안
- 즉시 조치
- 해당 MMS 포트(보통 102)에 대한 인바운드 트래픽을 신뢰할 수 없는 네트워크에서 차단합니다.
- 서비스가 비정상 종료될 경우 자동 재시작 메커니즘을 적용하고, 로그를 중앙 SIEM으로 전송해 분석합니다.
- 근본 해결
- 벤더가 제공하는 패치를 신속히 적용합니다(패치가 아직 배포되지 않은 경우, 베타 또는 소스 레벨에서 경계 검사를 추가하도록 개발팀에 요청하십시오).
- 장기적으로는 메모리 안전성을 강화한 최신 BER/ASN.1 파싱 라이브러리로 교체하는 것을 검토합니다.
본 보고서는 다중 소스 간 일관성이 확인된 정보([교차검증]), EPSS 데이터가 제공되지 않아 실제 악용 확률을 정량화하기 어려운 점([실측 악용예측]), 그리고 CVSS 6.5·KEV 미등재·exploit moderate를 고려한 규칙 기반 우선순위 결정에 따라 이번 주 내 scheduled로 지정된 결과를 반영합니다([우선순위 결정]).
⚖️ 위험도 / 우선순위
- 조치: scheduled (이번 주 내)
- 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None