[공격] 분석 — CVE-2026-63035

• 심각도 high · CVSS 8.1 · EPSS 미확보 · 악용난이도 moderate

• 공격 표면: OPC UA (ISO‑TP) 프로토콜의 TransferSubscriptions 서비스. 요청 메시지는 SubscriptionId, SequenceNumber 등 여러 필드를 포함하며, 서버는 해당 구독을 다른 세션으로 이전한다.
• 전제 조건
  1. 공격자는 유효한 인증 토큰(사용자명·비밀번호 혹은 X.509)으로 OPC UA 엔드포인트에 접속할 수 있어야 함 (PR:L, UI:N).
  2. 서버가 open62541 0.x 이상을 사용하고, 해당 서비스가 비활성화되지 않은 상태여야 함.
• 단계
  1. 정찰 – OPC UA 엔드포인트(opc.tcp://<host>:4840)와 지원 서비스 목록을 GetEndpoints·FindServers 호출로 파악한다.
  2. 초기 접근 – 인증 절차를 통과해 세션을 생성하고, 정상적인 구독(CreateSubscription)을 하나 만든다.
  3. 트리거 – TransferSubscriptions 요청에 비정상적으로 큰 혹은 구조가 깨진 SubscriptionIdList·TargetServerUri 를 삽입한다. 이때 내부 구현이 해당 리스트를 해제한 뒤 바로 재사용하도록 설계돼 있어, 공격자가 조작한 데이터가 이미 해제된 힙 객체 위에 쓰여 메모리 오염을 일으킨다 (AV:N, AC:L).
  4. 실행·권한 획득 – 메모리 오염이 성공하면 자유롭게 제어 흐름을 조작할 수 있는 경우(예: 가짜 vtable 포인터) 원격 코드 실행(RCE)이 가능하고, 최소한 서버 프로세스가 비정상 종료되어 서비스 거부(DoS)가 발생한다 (I:H, A:H).
  5. 지속·영향 – RCE 성공 시 공격자는 악성 모듈을 로드하거나 관리자 권한으로 시스템에 지속성을 심어둘 수 있다; DoS 경우 OPC UA 서버 전체가 중단되어 산업 제어 시스템 가용성이 크게 저하된다.

CVSS 벡터 AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H 은 위와 같이 네트워크 직접 접근, 낮은 난이도, 인증 필요(하지만 권한이 낮음), 사용자 상호작용 없이 진행 가능한 점을 반영한다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한(open62541 OPC UA 서비스) 엔드포인트에 존재하며, 공격 복잡도가 낮아(AV:N/AC:L

• 서비스 가용성: 힙 오염으로 인한 프로세스 크래시 → OPC UA 서버 전체 다운.
• 코드 실행 가능성: 메모리 재사용이 성공하면 임의 코드가 실행될 수 있어, 공격자는 시스템 레벨 권한을 획득하거나 악성 펌웨어를 주입할 수 있다.
• 데이터 무결성: 구독 전송 과정에서 조작된 데이터가 다른 클라이언트에 전달될 위험이 존재한다.

• 유형: CWE-416 (Use After Free) → 메모리 관리 오류는 일반적으로 Heap Spray + Control‑Flow Hijack 패턴과 결합돼 원격 코드 실행으로 이어진다.
• 가능한 체인:
  • TransferSubscriptions UAF → 메모리 할당/해제 로그 우회 → Heap Spraying (예: 대량의 CreateMonitoredItems 로 힙을 채움) → 가짜 객체 삽입 → RCE.
  • 동일 서버에 존재하는 다른 CWE-119(버퍼 오버플로) 취약점과 결합해, 먼저 메모리 레이아웃을 조정한 뒤 UAF를 트리거하면 성공 확률이 높아진다.

추정: 현재 공개된 CVE 중 직접적인 체이닝 사례는 확인되지 않았으나, 위와 같은 일반적 메모리‑오류 연계 패턴은 실전에서 흔히 이용된다.

• OPC UA 서버 로그에 TransferSubscriptions 호출 시 비정상적인 SubscriptionIdList 길이(예: 0 → 대량) 또는 파싱 오류가 반복적으로 기록되는 경우.
• 시스템 콜 레벨에서 동일 힙 주소가 연속해 해제·재할당(free → malloc) 되는 패턴을 실시간으로 감시하는 HIDS/EDR 시그니처.
• 프로세스 크래시 발생 시 core 파일에 “use‑after‑free” 스택 트레이스 또는 asan 경고가 남는 경우.

1. 즉시 조치
   • OPC UA 서버 접근을 인증된 내부 네트워크로 제한하고, 불필요한 외부 IP에서의 TransferSubscriptions 호출을 방화벽 규칙으로 차단한다.
   • 현재 사용 중인 open62541 라이브러리를 최신 패치 버전(공식 릴리즈)으로 교체하거나, 해당 서비스에 대한 입력 검증 로직을 추가해 구독 ID 리스트 길이와 형식을 엄격히 검사한다.
2. 근본 해결
   • 메모리 관리 오류를 근본적으로 수정한 upstream 패치를 적용하고, 빌드 시 -fsanitize=address·-fstack-protector-strong 등 힙 하드닝 옵션을 활성화한다.
   • OPC UA 서버에 대한 최소 권한 원칙을 적용해 인증 토큰이 없는 서비스 호출을 차단하고, 정기적인 취약점 스캔으로 유사 메모리 오류를 사전 탐지한다.

교차검증 결과: 다중 소스에서 일관성이 확인됐으며, EPSS는 현재 제공되지 않는다. 위험도 판단은 CVSS 8.1(High)·비KEV·EPSS 미확보·악용 등급 moderate를 근거로 이번 주 내 scheduled 대응으로 결정되었다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None