[단독공격] 분석 — CVE-2026-56758

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 공격 표면
  • 프로토콜: IEC 61850 MMS → ACSE (Application Connection Service Element) → AARQ PDU
  • 노출 포트: TCP 102 (ISO‑TSAP) 또는 IEC 61850 MMS가 바인딩된 기타 포트
  • 파라미터: calling AP title 필드의 length 값이 0 혹은 1인 경우
• 전제 조건
  • 대상 장비가 MMS 서비스를 인증 없이 수신하도록 구성돼 있어야 함 (PR:N, UI:N).
  • 공격자는 네트워크 레벨에서 해당 포트에 접근 가능해야 함 (AV:A).
• 단계별 흐름
  1. 정찰 – 포트 102 스캔 → OSI COTP 연결 수립 성공 여부 확인.
  2. 초기 접근 – 정상 MMS 연결 절차를 그대로 진행하되, AARQ PDU 안에 calling AP title 길이 필드를 0 혹은 1 로 조작한 패킷을 삽입.
  3. 실행 – 파서가 길이 값에 따라 버퍼 경계를 벗어나 힙 메모리를 읽음 → 메모리 오염 발생.
     • 결과: 서비스 다운(DoS) 또는 인접 메모리 내용 노출.
     • 추가적인 쓰기 취약점과 결합될 경우 원격 코드 실행(RCE) 가능성 존재.
  4. 지속·영향 – 악용 성공 시 장비 재시작 없이 지속적 서비스 장애, 혹은 추후 메모리‑쓰기 프리미티브와 연계해 권한 상승/제어 흐름 획득이 가능.
• CVSS 벡터 연결
  • AV:A → 네트워크 접근만으로 트리거.
  • AC:L → 패킷 하나만 전송하면 충분함.
  • PR:N → 인증 불필요.
  • UI:N → 사용자 개입 없음.

악용 가능성: 이 취약점은 인접 네트워크(AV:A)에서 MMS 연결을 시도하는 장비에 직접 AARQ PDU를 전송하기만 하면 되므로 물리적 혹은 VPN 등으로 같은 LAN에 접근할 수 있으면 공격이 가능합니다. 복잡도가 낮음(AC:L)은 호출 AP title 필드의 길이를 0 또는 1로 조작하면 파서가 힙 버퍼 끝을 넘어 읽게 되는 로직 오류가 명확히 재현되기 때문이며, 권한 요구가 없고(PR:N) 사용자 개입도 필요하지 않으므로(UI:N) 초기 침투 단계에서 별도의 인증 절차를 우회할 수 있습니다. 공격 표면은 IEC 61850·MMS 스택의 ACSE 레이어로, 일반적으로 TCP 102 포트(ISO‑TSAP) 혹은 IEC 104와 같은 프로토콜을 통해 노출됩니다. 트리거 조건은 AARQ 메시지 내 ‘calling AP title’ 길이 필드에 0/1 값을 삽입한 패킷을 전송하는 것이며, 성공 시 힙 오버플로우가 발생해 서비스 중단이나 메모리 손상으로 이어질 수 있습니다. 현재 KEV에 등재되지 않았고 EPSS 점수도 제공되지 않아 실제 악용 사례는 보고되지 않았지만, 인접 네트워크 접근만 있으면 충분히 재현 가능한 로직 결

• 서비스 중단(DoS) – MMS 세션이 비정상 종료되어 PLC/RTU 등 자동화 시스템의 제어 흐름이 멈춤.
• 메모리 내용 노출 – 힙에 존재하는 인증 토큰, 설정값 등이 유출될 가능성.
• 잠재적 원격 코드 실행 – 동일 프로세스 내 다른 쓰기 취약점과 결합 시 전체 장비 장악 위험.

• 유형: CWE‑125 (Out‑of‑bounds Read) → 메모리 오염 → 정보 누출/DoS.
• 가능한 체인
  • 동일 프로세스에 존재하는 CWE‑119(버퍼 오버플로우)와 결합 → 메모리 쓰기 프리미티브 확보 → RCE.
  • CWE‑416(Use‑After‑Free)와 연계 시, 오염된 포인터를 이용해 임의 코드 실행 가능.
• 추정: 현재 공개된 다른 CVE가 동일 MMS 구현에 존재한다는 보고는 없으나, 산업용 프로토콜 스택에서 흔히 발견되는 메모리 관리 결함과 유사한 패턴이므로 위와 같은 체인이 현실적이라고 판단됨.

• IDS/IPS에서 AARQ PDU 중 calling AP title 길이가 0 또는 1인 경우를 경고(SIG‑001)로 기록.
• 시스템 로그에 비정상적인 MMS 세션 종료·핵심 프로세스 크래시가 반복적으로 발생하면 알림.
• 네트워크 트래픽 분석 시 정상 MMS 연결 흐름과 달리 AP title 필드가 비어 있거나 최소 길이만 존재하는 패킷을 필터링.

• 즉시 조치: 방화벽/ACL로 외부에서 TCP 102(또는 해당 MMS 포트) 접근 차단하거나, 신뢰된 IP 범위만 허용.
• 패치 적용: 공급업체가 제공하는 최신 펌웨어·스택 업데이트를 배포.
• 보안 강화: MMS 서비스에 인증(TLS/DTLS) 및 암호화 레이어 추가, 불필요한 MMS 포트 비활성화.
• 시스템 보호: ASLR, Stack Canaries 등 메모리 보호 기법 활성화, 이상 종료 시 자동 재시작·알림 설정.

이 보고서는 다중 소스 교차검증을 통해 일관성이 확인되었으며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS가 현재 제공되지 않음에도 불구하고 moderate 수준의 악용 가능성을 고려해(exploit=moderate) 이번 주 내에 대응하도록 우선순위가 지정되었습니다([우선순위 결정] scheduled).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None