[방어] 분석 — CVE-2026-63362

• 심각도 medium · CVSS 5.9 · EPSS 미확보 · 악용난이도 moderate

open62541 PubSub 모듈의 서명 검증 경로에서 unsigned integer underflow가 발생한다.
공격자는 UDP 패킷을 조작해 길이가 비정상적으로 짧은(또는 특정 필드값이 0) 페이로드를 전송하면, 내부 카운터가 언더플로우되어 서비스 스레드가 예외 종료하거나 무한 루프에 빠져 가용성이 상실된다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는 AV:N (원격·네트워크) 환경에서 발생하지만, 성공적인 악용을 위해서는 서명 검증 로직에 특수히 조작된 UDP 패킷을 전송해야 하므로 AC:H (높은 복잡도)가 요구됩니다. 공격자는 사전 권한이 필요 없으며 PR:N (권한 없음)·UI:N (사용자 상호작용 불필요) 조건을 만족하므로, 권한 상승이나 피싱 단계 없이 바로 시도할 수 있습니다. 다만, 정수 언더플로우를 유발하려면 정확히 맞춰진 패킷 구조와 서명 필드 값을 계산해야 하며, 이는 취약 코드에 대한 상세 이해가 전제되는 고난이도 작업입니다. EPSS 값이 제공되지 않고 KEV 목록에도 등재되지 않은 이유는 현재까지 실제 악용 사례가 보고되지 않아 통계적 위험도가 낮게 평가되기 때문이며, 이는 이론적인 심각도와 별개로 실전 위협 가능성이 제한적임을 의미합니다. 공격 표면은 open62541 라이브러리를 채택한 OPC UA PubSub 구현에서 UDP 기반의 Publish/Subscribe 엔드포인트가 노출되는 경우이며, 해당 포트·프로토콜이 외부에 공개돼 있으면 악용 가능성이 존재합니다. 따라서 이 취약점은 “moderate” 등급으로 분류되지만, 실제 공격이 이루어지려면 정밀한 패킷 설계와 라이브러리 내부 로직에 대한 사전 조사라는 높은 장벽을 넘어야 합니다.

• 성공 시 해당 OPC UA PubSub 엔드포인트(UDP)에서 서비스 중단(Denial‑of‑Service)이 발생한다.
• 데이터 기밀성·무결성은 영향을 받지 않으며, 공격 표면은 네트워크 레이어(NETWORK)만을 이용한다.

• 동일한 open62541 버전에서 보고된 다른 메모리 관리 오류(CVE‑2025‑xxxx 등)가 존재할 경우, 연쇄적인 서비스 중단이나 추가 원격 코드 실행으로 연결될 가능성이 있다(구체적 CVE 번호는 확인되지 않음).

• 로그 지표

  • 시스템/네트워크 IDS 로그: UDP 프로토콜, 목적 포트 = open62541 PubSub 사용 포트(예: 4840 또는 62541), 패킷 길이(len)가 정상 범위(> 64 바이트)보다 작을 경우.
  • 어플리케이션 로그(가능 시): Signature verification failed 혹은 underflow detected 메시지.

• SIEM 탐지 규칙 예시

  1. 네트워크 레이어 규칙 (Splunk, Elastic 등)

 1index=network sourcetype="udp" dest_port IN (4840,62541)
 2| eval pkt_len = len(payload)
 3| where pkt_len < 20
 4| stats count by src_ip, dest_ip, dest_port
 5| where count > 5   // 단시간에 다수 발생 시 알림

 1 *오탐 튜닝*: 정상 짧은 Discovery 패킷(예: mDNS) 제외를 위해 `src_port != 5353` 조건 추가.  

2. 패턴 기반 정규식 (로그 파일)

 1/Signature verification failed.*underflow/

 1 *오탐 튜닝*: 서비스 시작 시 발생하는 초기화 로그에 포함될 수 있으므로, `event_time - service_start_time > 60s` 조건으로 필터링.  

3. IDS Snort/Suricata 룰

 1alert udp $EXTERNAL_NET any -> $HOME_NET [4840,62541] (msg:"open62541 PubSub underflow attempt"; 
 2    dsize:<20; sid:1000001; rev:1;)

• 오탐 시나리오와 튜닝
  • 정상적인 짧은 UDP 패킷(예: DHCP, SSDP) → 포트 필터링 및 프로토콜 식별을 추가.
  • 테스트 환경에서 발생하는 디버그 로그 → log_level이 DEBUG인 경우 제외.

• 즉시(긴급 차단)

  • 조치: 방화벽/네트워크 ACL에서 open62541 PubSub이 사용하는 UDP 포트를 전역 차단하거나, 해당 서비스가 바인딩된 인터페이스에만 제한한다.
  • 구현 난이도: ★☆☆ (방화벽 규칙 추가만으로 적용 가능)
  • 운영 영향: PubSub 기반 실시간 데이터 전송이 중단되므로, 비즈니스 연속성에 큰 영향을 미칠 수 있다.
  • 검증 방법: 차단 후 동일 포트로 UDP 패킷을 전송해 응답이 없는지 확인한다.

• 단기(완화)

  • 조치: open62541 PubSub 설정에서 EnableUDP = false 혹은 PubSubEnabled = false 로 비활성화한다(가능한 경우).
  • 구현 난이도: ★★☆ (설정 파일 수정 및 서비스 재시작 필요)
  • 운영 영향: PubSub 기능만 제한되며, 기존 OPC UA TCP 통신은 유지된다.
  • 검증 방법: 서비스 로그에 PubSub disabled 메시지가 출력되는지 확인하고, 정상적인 TCP 연결 테스트를 수행한다.

• 근본(해결)

  • 조치: upstream에서 제공하는 패치를 적용한다. 현재 영향을 받는 버전은 1.3.0‑1.3.17, 1.4.0‑1.4.16, 1.5.0‑1.5.4 및 master이며, 공식 릴리즈(예: v1.5.5)에서 해당 underflow가 수정되었다고 발표될 경우 업그레이드한다.
  • 구현 난이도: ★★★ (버전 호환성 테스트와 롤아웃 계획 필요)
  • 운영 영향: 서비스 재배포·재시작에 따른 일시적 다운타임 발생 가능.
  • 검증 방법: 업그레이드 후 동일 UDP 패킷을 전송해 정상 처리(오류 로그 미출력)되는지 확인한다.

• 잔여 리스크

  • 패치 적용 전까지는 위 긴급 차단·설정 비활성화가 핵심 방어선이며, 네트워크 레이어에서의 탐지를 통해 의도된 공격 시도를 조기에 포착한다.
  • 패치 이후에도 UDP 기반 다른 취약점이 존재할 수 있으므로, 지속적인 보안 모니터링과 정기적인 라이브러리 업데이트가 필요하다.

우선순위 근거: 다중 소스에서 일관성이 확인된 CVE-2026-63362(교차검증)이며 EPSS 데이터는 현재 확보되지 않아(exploit = moderate, KEV 미등재) 우선순위는 “scheduled (이번 주 내)”로 지정됐다. 따라서 즉시 차단과 탐지 규칙 적용이 가장 시급한 조치이다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.9 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None