[단독방어] 분석 — CVE-2026-63550

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

공격자는 정상적인 MMS 세션(기본 포트 TCP 102) 위에 특수하게 조작된 BER‑인코딩 요소를 전송합니다. 해당 요소가 확인‑요청 메시지 내 특정 필드에 포함되면 디코더가 내부 읽기 위치를 잘못 이동시켜 힙 영역을 초과해 읽게 되고, 이로 인해 MMS 처리 프로세스가 비정상 종료됩니다. 공격 단계는 ① 정상 세션 수립 ② 변조된 BER 요소 전송 ③ 서비스 크래시(DoS) 순으로 진행됩니다.

악용 가능성: 이 취약점은 원격에서 TCP 포트 102(MMS)로 접근 가능한 서비스에 한해, 공격자가 MMS 세션을 수립하고 확인‑요청(confirmed‑request) 메시지 안에 조작된 BER‑인코딩 요소를 삽입하면 발생합니다. CVSS 벡터 AV:N/AC:L/PR:L/UI:N은 네트워크 접근만으로도 공격이 가능하고, 공격 복잡도가 낮으며(Low), 최소 권한(Low)만 있으면(예: 인증된 사용자 계정) 추가적인 사용자 조작 없이 자동으로 실행될 수 있음을 의미합니다. 실제로는 서비스가 외부에 노출돼 있거나 방화벽·네트워크 구역 분리 등이 미비할 경우, 공격자는 손쉽게 정상 세션을 맺고 악성 BER 데이터를 전송해 힙 OOB‑read를 유발해 프로세스를 비정상 종료시킵니다. EPSS 점수가 제공되지 않아 현재 관측된 실제 활용 사례는 부족하지만, KEV 목록에 등재되지 않은 점은 아직 대규모 공격이 보고되지 않았다는 의미이며, 이는 위험도가 이론적으로 ‘moderate’ 수준임을 강조합니다. 따라서 위 조건을 만족하는 환경(예: 산업용 장비의 MMS 엔드포인트가 인터넷·내부망에 직접 노출)에서는 공격 난이도가 낮고 악용 가능성이 충분히 존재하므로, 방어자는 해당 포트와 프로토콜을 우선적으로 모니터링하고 접근 제어를 강화해야 합니다.

성공적인 악용 시 해당 MMS 서버의 프로세스가 예기치 않게 종료되어 서비스 가용성이 상실됩니다. CVSS 벡터에 따라 기밀성·무결성은 영향을 받지 않으며, 오직 가용성(Availability)만이 손상됩니다.

본 메모리‑코루전 유형은 동일 프로토콜 스택에서 발생하는 다른 BER 디코더 결함과 연계될 가능성이 있습니다. 예를 들어, MMS → OPC UA 등에서 사용되는 공통 BER 파싱 라이브러리에 존재하는 경계 검사 오류와 조합될 경우 추가적인 서비스 거부 혹은 메모리 손상 공격이 확대될 수 있습니다.

• 로그 지표
  • 시스템 로그(예: syslog, journald)에서 MMS 데몬(mmsd 등)의 비정상 종료 메시지(segfault, abort, core dumped)가 기록되는 경우.
  • 네트워크 IDS/IPS 로그에 TCP 102 연결이 짧은 시간 내에 다수 재시도되거나 RST 패킷이 급증하는 현상이 나타날 때.
• SIEM 쿼리 예시 (필드·조건 기반)
  1. source="syslog" AND program="mmsd" AND message CONTAINS "segfault" – MMS 프로세스 크래시 감지.
  2. source="firewall" AND dest_port=102 AND action="RESET" AND count > 10 within 60s – 포트 102에서 비정상적인 연결 재설정 탐지.
  3. source="ids" AND protocol="TCP" AND dst_port=102 AND payload MATCHES "^.*(BER|MMS).{0,20}invalid length.*$" – 변조된 BER 요소가 포함된 패킷 탐지 (정규식 사용).
• 오탐 튜닝
  • 정상적인 서비스 재시작이나 배포 단계에서 발생하는 segfault 로그는 제외하도록 message NOT CONTAINS "deployment" 조건을 추가합니다.
  • 포트 102에 대한 정기적인 헬스 체크가 RST를 유발할 경우, 해당 IP/시간대와 연관된 정상 트래픽 패턴을 화이트리스트에 등록하여 알림 임계값을 count > 30 등으로 상향합니다.

• 즉시(긴급 차단)
  • 방화벽 또는 네트워크 ACL에서 TCP 102 포트를 차단하거나, 신뢰된 내부 호스트에만 허용하도록 제한하십시오. 구현 난이도: ★☆☆☆☆ (간단히 정책 추가). 운영 영향: MMS 서비스 전체 중단, 가용성 급격히 감소. 검증 방법: 차단 후 해당 포트로의 연결 시도가 모두 거부되는지 확인합니다.
• 단기(완화)
  • MMS 서버에 대한 입력 검증 프록시를 배치하여 BER 메시지 길이와 형식을 사전 검사하고, 비정상적인 길이값을 가진 패킷은 폐기하도록 설정하십시오. 구현 난이도: ★★☆☆☆ (프록시 도입 및 정책 정의). 운영 영향: 약간의 지연 증가 가능성, 정상 트래픽에 대한 최소한의 방해. 검증 방법: 프록시 로그에서 invalid length 경고가 발생하고 서비스 가용성이 유지되는지 모니터링합니다.
  • IDS/IPS 규칙을 적용하여 변조된 BER 요소 패턴을 차단하고, 해당 이벤트를 SIEM에 실시간 전송하도록 설정하십시오. 구현 난이도: ★★☆☆☆ (규칙 작성·배포). 운영 영향: 낮음, 오탐 최소화 필요. 검증 방법: 규칙 적용 후 포트 102 트래픽 중 변조 패킷이 차단되는지 테스트합니다.
• 근본(해결)
  • 공급업체에서 제공하는 보안 업데이트가 공개될 때까지 최신 버전으로 업그레이드하거나, 해당 MMS 구현의 BER 디코더 코드를 직접 수정하여 경계 검사를 강화하십시오. 구현 난이도: ★★★★☆ (패치 적용·테스트). 운영 영향: 서비스 재시작 필요, 잠재적 호환성 검증 요구. 검증 방법: 패치 적용 후 동일 조건에서 변조 BER 요소를 전송해도 프로세스가 정상 동작하는지 회귀 테스트합니다.

본 보고서는 다중 소스에서 일관성이 확인된 교차검증 결과와 EPSS 데이터가 확보되지 않았음에도 불구하고 “moderate” 수준의 악용 가능성을 고려한 **규칙 기반 우선순위(이번 주 내 스케줄링)**에 근거하여 작성되었습니다. 즉시 차단 조치를 시행하고, 단계별 완화·검증 절차를 따라 위험을 최소화하시기 바랍니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None