[단독방어] 분석 — CVE-2026-61893

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

공격자는 IEC 60870‑5‑104 프로토콜의 I‑frame 중 TypeID 104(C_TS_NA_1)를 선택하고, 객체 개수 필드를 비정상적으로 크게 설정한 패킷을 전송합니다. 해당 프레임이 수신되면 TestCommand_getFromBuffer 함수가 힙에 할당된 메시지 버퍼 끝을 한 바이트 넘어 읽게 되어 메모리 오염이 발생합니다. 네트워크 접근만 가능하면 (AV:N, PR:N) 인증·사용자 상호작용 없이 원격으로 악용될 수 있습니다.

악용 가능성: 이 취약점은 AV:N/AC:L/PR:N/UI:N 이라는 CVSS 벡터가 의미하듯, 공격자는 네트워크를 통해 바로 접근 가능한 IEC 60870‑5‑104 서비스(기본 포트 2404)만 열어두면 됩니다. 복잡한 전처리 없이 단순히 TypeID 104와 과도하게 큰 object count를 포함한 I‑frame을 한 번 전송하면, TestCommand_getFromBuffer가 힙 버퍼 끝을 넘어선 1바이트를 읽게 되어 메모리 손상이 발생합니다. 따라서 공격 복잡도는 “Low”이며, 권한 요구가 없고 사용자 개입도 필요하지 않으므로 실제 실행 조건은 매우 제한적이지 않습니다. EPSS 데이터가 존재하지 않아 현재까지 관측된 악용 사례가 적지만, CVSS 점수가 높게 평가된 만큼 이론적인 위험성은 충분히 현실화될 가능성이 있습니다. KEV 리스트에 등재되지 않은 것은 아직 대규모 공격이 보고되지 않았음을 의미하지만, 네트워크 노출 서비스가 존재한다면 손쉽게 악용될 수 있는 환경이라고 판단됩니다. 결과적으로 공격 표면은 IEC 60870‑5‑104 프로토콜을 구현하는 모든 엔드포인트와 해당 I‑frame 파라미터이며, 이 조건만 충족하면 별도의 사전 단계 없이 바로 취약점을 이용할 수 있습니다.

• 가용성: 메모리 손상으로 인해 프로세스 충돌 혹은 서비스 중단(Availability Low) 위험이 존재합니다.
• 무결성/기밀성: 직접적인 데이터 변조·유출은 보고되지 않았으나, 메모리 오염 후 추가 취약점과 결합될 경우 잠재적 위험이 있습니다.

본 메모리‑코루전 유형(CWE‑??)은 동일 IEC 60870‑5‑104 스택 내 다른 버퍼‑오버플로우 혹은 포인터 오류와 연계되어 권한 상승이나 원격 코드 실행으로 확장될 수 있습니다. 현재 확인된 구체적인 CVE 번호는 없습니다.

• 로그 위치·필드

  • Zeek/Suricata 등 네트워크 IDS: iec104.log(type_id, object_count)
  • 방화벽 혹은 애플리케이션 로그: payload_bytes, src_ip, dst_port(2404)

• SIEM 쿼리 예시

  • Splunk: index=network sourcetype=iec104 type_id=104 object_count>255
  • Elastic Kibana: event.type:"iec104" AND iec104.type_id:104 AND iec104.object_count > 255

• 정규식·패턴 (패킷 캡처 단계)

  bash복사

   1^\x68.{1,2}\x04\x00.{0,4}(\xFF{2,})   # TypeID 0x04 뒤에 비정상적으로 큰 object count가 연속된 0xFF인 경우

• 오탐 튜닝

  • 정상 장비에서 발생하는 최대 객체 수를 사전 측정하고 임계값을 해당 값의 1.5배 정도로 설정합니다.
  • 특정 신뢰할 수 있는 IP(예: 내부 SCADA 서버)에서는 임시로 경고 수준만 낮추고, 지속적인 모니터링으로 정상 트래픽을 확인한 뒤 예외 규칙을 적용합니다.

• 즉시(긴급 차단)

  • 방화벽 ACL에 dst_port=2404와 type_id=104 조합을 매칭하고, object_count > 255인 패킷을 DROP하도록 설정합니다.
  • 구현 난이도: 중간 (방화벽 정책 수정 필요) / 운영 영향: 정상 IEC 60870‑5‑104 트래픽에 최소한의 지연·차단 위험 (임계값 조정 시 완화) / 검증 방법: 테스트 패킷 전송 후 로그에 차단 이벤트가 기록되는지 확인.

• 단기(완화)

  • IDS/IPS에 위 SIEM 쿼리와 동일한 서명(rule) 적용 → 알림 및 자동 차단 옵션 활성화.
  • 애플리케이션 레이어에서 TestCommand_getFromBuffer 호출 전, 수신된 객체 개수를 명시적으로 검증하고 허용 범위를 초과하면 패킷을 폐기하도록 코드 패치(임시).
  • 구현 난이도: 낮음 (IDS 시그니처 적용) → 중간 (애플리케이션 로직 추가) / 운영 영향: 정상 메시지는 그대로 처리, 오탐 최소화 위해 임계값 조정 필요 / 검증 방법: 정상 장비에서 샘플 트래픽을 재생하고 오류 로그가 발생하지 않는지 확인.

• 근본(해결)

  • 공급업체가 제공하는 공식 패치가 발표될 때까지 최신 버전으로 업그레이드하거나, 해당 라이브러리의 TestCommand_getFromBuffer에 경계 검사(boundary check)를 추가한 커스텀 빌드를 적용합니다.
  • 구현 난이도: 높음 (패키지 교체·테스트 필요) / 운영 영향: 서비스 재시작 및 잠재적 호환성 검증 요구 / 검증 방법: 패치 적용 후 동일 조건의 공격 페이로드에 대해 메모리 오염 현상이 재현되지 않는지 회귀 테스트 수행.

우선순위 근거: 다중 소스에서 일관성이 확인된 ([교차검증] 신뢰도 1.0) 정보와, EPSS가 제공되지 않음에도 불구하고 악용 난이도가 easy로 평가된 ([실측 악용예측]) 점, 그리고 CVSS 6.5·KEV 미등재·EPSS 미확보인 상황에서 “이번 주 내” ([우선순위 결정])에 따라 즉시 차단과 단기 완화 조치를 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None