[단독분석] 분석 — CVE-2026-63559

• 심각도 high · CVSS 7.5 · EPSS 미확보 · 악용난이도 easy

• 원격 공격자는 네트워크를 통해 OPC UA 서비스(open62541)에게 조작된 UA_Variant 구조체를 전송합니다.
• 변조된 arrayDimensions 값이 정수 오버플로우를 일으켜 내부 배열 크기 계산이 잘못되어, 서버는 힙 메모리 영역을 초과해 읽게 됩니다.
• 결과적으로 공격자는 메모리 내용(예: 인증 토큰, 설정값 등)을 탈취할 수 있습니다.

악용 가능성: AV:N·AC:L·PR:N·UI:N 벡터는 공격자가 네트워크를 통해 바로 접근할 수 있고, 복잡한 사전 작업 없이도 취약 함수에 입력값을 제공하면 된다는 의미이며, 사용자 개입조차 필요하지 않음을 나타냅니다. 실제로 open62541‑기반 OPC UA 서버가 외부에 노출된 경우, UA_Variant 구조체의 arrayDimensions 곱셈 단계에서 정수 오버플로우를 유발할 수 있는 비정상적인 배열 길이 파라미터만 전송하면 됩니다. 이 입력값을 처리하는 OPC UA 서비스(예: Read/Write 요청) 자체가 공격 표면이며, 해당 엔드포인트는 기본적으로 TCP 4880 포트 등으로 외부에 개방되어 있는 경우가 많습니다. KEV 데이터베이스에 등재되지 않았고 EPSS 점수가 제공되지 않은 상황은 현재까지 실증된 악용 사례가 보고되지 않았음을 의미하지만, CVSS에서 부여된 “Easy” 등급과 네트워크‑전용·무인증·무상호작용 조건을 고려하면 이론적 위험이 실제 위협으로 전환될 가능성은 여전히 높습니다. 따라서 방어자는 해당 서비스가 외부에 노출되는지 여부와 입력 검증 로직을 우선 점검하는 것이 효과적인 초기 대응이 될 것입니다.

• 기술적 위험: 정수 오버플로우를 이용한 out‑of‑bounds read가 성공하면 기밀 정보가 외부에 유출됩니다(C) · 무결성 및 가용성에는 직접적인 영향을 주지 않습니다(I:N/A:N).
• 비즈니스 리스크:
  • 민감 데이터(인증서, 사용자 자격 증명, 산업 제어 시스템 설정 등)가 노출될 경우 규제·컴플라이언스 위반 위험이 존재합니다.
  • 고객 및 파트너에 대한 신뢰 손상이 발생할 수 있으며, 사고 대응 비용과 법적 책임이 추가됩니다.
• 영향 제품·노출 규모: 현재 공개된 정보로는 영향을 받는 구체적인 제품이나 버전이 확인되지 않았습니다(영향 제품 = 미상). 따라서 모든 open62541를 사용 중인 OPC UA 구현을 잠재적 대상이라고 추정합니다(추정: open62541 기반 솔루션 전반).

• 동일한 정수 오버플로우 패턴은 다른 OPC UA 스택이나 메모리 연산 라이브러리에서도 발견될 수 있습니다.
• 공격자는 본 취약점을 이용해 초기 정보 수집 후, 메모리 내용에 포함된 인증 정보를 사용해 추가적인 권한 상승 또는 lateral movement를 시도할 가능성이 있습니다(추정: 체이닝 가능성).

• 네트워크: OPC UA 서비스에 비정상적으로 큰 arrayDimensions 값을 포함하는 Write/Read 요청을 IDS/IPS에서 경고하도록 규칙 설정.
• 호스트: open62541 프로세스가 발생시키는 “integer overflow” 또는 “out‑of‑bounds read”와 같은 런타임 오류 로그를 중앙 로그 시스템에 수집하고, 해당 이벤트 빈도가 급증하면 알림.
• 시그니처 예시: open62541.*(arrayDimensions|UA_Variant).*overflow (정규식)

1. 즉시 조치
   • open62541 최신 패치를 적용하거나, 취약점이 수정된 버전으로 업그레이드합니다.
   • 해당 OPC UA 엔드포인트에 대한 외부 접근을 방화벽 등 네트워크 레벨에서 제한하고, 신뢰할 수 있는 IP만 허용합니다.
2. 근본 해결
   • 소스 코드 수준에서 arrayDimensions 연산에 정수 오버플로우 검사를 추가하고, 컴파일러 옵션(-ftrapv, /GS)을 활성화합니다.
   • 시스템 전반에 ASLR, DEP 등 메모리 보호 기능을 적용하여 성공적인 메모리 읽기 시도를 차단합니다.
3. 운영 차원
   • EPSS가 현재 미확보이지만(실측 악용예측 = 미상) “exploit = easy” 평가와 CVSS 7.5 점수를 고려해 이번 주 내에 패치·방어 조치를 수행하도록 우선순위를 scheduled로 지정했습니다([우선순위 결정] 참고).
   • 정기적인 취약점 스캔과 로그 모니터링을 통해 동일한 패턴이 재발하지 않도록 관리합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None