[방어] 분석 — CVE-2026-56758

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

ACSE 레이어가 MMS 연결 설정 시 AARQ PDU의 “calling AP title” 필드 길이 값을 검증하지 않아, 길이가 0 또는 1인 경우 힙 버퍼 끝을 넘어 읽게 된다. 공격자는 MMS 클라이언트와 서버 사이에 조작된 AARQ 패킷을 전송함으로써 메모리‑오버리드를 유발하고, 서비스 장애(DoS) 혹은 추후 임의 코드 실행을 시도할 수 있다. 네트워크 경로는 TCP 102(MMS) → ACSE 파싱 단계이며, 로컬 권한이 필요 없는 원격 공격이다.

악용 가능성: 이 취약점은 AV:A(인접 네트워크) 환경에서 동작하므로 공격자는 동일 LAN·VLAN·VPN 등 물리적으로 근접한 네트워크에 접근하기만 하면 됩니다. AC:L(낮은 복잡도)으로, 길이가 0 또는 1인 필드값을 조작해 AARQ PDU를 전송하는 것만으로도 힙 버퍼 끝을 넘어 읽는 오류를 유발할 수 있어 특별한 전문 지식 없이도 재현이 가능합니다. PR:N(공격자 권한 없음)과 UI:N(사용자 상호작용 필요 없음) 덕분에 인증 절차를 우회하거나 사용자를 속일 필요가 없으며, 자동화된 스크립트만으로 연속적인 시도를 할 수 있습니다. EPSS 데이터가 존재하지 않아 현재 악용 사례는 보고되지 않았지만, moderate 등급과 CVSS 벡터가 보여 주듯 이론적 심각도가 중간 수준이므로 실제 위협 가능성을 완전히 배제할 수 없습니다. KEV(주요 노출 취약점) 리스트에 포함되지 않은 점은 아직 광범위하게 악용된 사례가 없다는 의미지만, 동일 프로토콜을 사용하는 산업 제어 시스템에서는 공격 표면이 제한적이라도 존재합니다. 공격 표면은 MMS 서비스가 바인딩하는 TCP 102 포트와 호출 AP‑title 필드이며, 해당 엔드포인트에 대한 패킷을 조작할 수 있는 모든 장치가 잠재적인 공격자 역할을 할 수 있습니다.

• 가용성: 힙 읽기 오류 발생 시 서버 프로세스가 비정상 종료하거나 무응답 상태에 빠져 MMS 서비스 전체가 중단될 수 있다.
• 무결성·기밀성: 현재 CVSS 벡터(C:N/I:N/A:H)에서는 직접적인 데이터 유출·변조는 포함되지 않지만, 서비스 장애를 이용해 추가 공격(예: 재시작 후 악의적 라이브러리 로드)으로 확장될 가능성이 있다.

• 동일한 ACSE/MMS 스택에서 발생하는 CWE‑125 (Out‑of‑bounds Read) 유형의 다른 메모리 오류와 연계해 메모리 손상 후 ROP 체인 구축이 가능할 수 있다.
• MMS 기반 SCADA/PLC 시스템에 존재하는 인증 우회 취약점과 결합하면, 비인가 장치가 직접 AARQ 패킷을 전송해 공격 표면을 확대한다.

1. 로그 지표

   • MMS 서버 애플리케이션 로그: AARQ processing error, callingAPTitleLength 필드값, heap read out of bounds 등 오류 메시지.
   • 시스템 커널/운영체제 로그: 프로세스 비정상 종료(SIGSEGV) 및 메모리 보호 위반(segfault at ...).

2. SIEM 쿼리 예시 (예: Elastic SIEM/Kibana)

   text복사

    1// AARQ 파싱 오류 탐지
    2event.category:"application"
    3AND event.dataset:"mms.server"
    4AND message:*"AARQ"* 
    5AND (message:*"callingAPTitleLength=0"* OR message:*"callingAPTitleLength=1"*)

   text복사

    1// 프로세스 크래시와 연계된 탐지
    2event.category:"process"
    3AND process.name:"mmsd"
    4AND (event.outcome:"failure" OR error.message:"heap read out of bounds")

3. 정규식 예시 (로그 파싱 엔진)

   • AARQ.*callingAPTitleLength=(\d+) → 캡처된 길이가 0 또는 1이면 경고.

4. 오탐 튜닝

   • 정상적인 AARQ 교환에서도 짧은 AP title(길이 ≤ 2)이 사용될 수 있으므로, 오탐을 줄이려면 source.ip가 신뢰된 내부 시스템인지 확인하고, 동일 세션 내에서 연속적으로 발생하는 경우에만 경고 레벨을 높인다.
   • 또한, 정상적인 서비스 재시작 시 발생하는 일회성 크래시 로그는 “재시작 이벤트”와 매칭해 제외한다.

• MMS 애플리케이션 설정 제한: ACSE 파싱 단계에서 “calling AP title” 길이 검증 옵션을 강제 활성화하거나, 최대 허용 길이를 2 바이트 이상으로 제한하는 구성 옵션이 있는 경우 적용한다.

  • 구현 난이도: ★★ (설정 파일 수정)
  • 운영 영향: 기존에 짧은 AP title을 사용하는 장비와 호환성 문제 발생 가능 → 사전 테스트 필요.
  • 검증 방법: 정상적인 AARQ 교환 로그에서 callingAPTitleLength가 2 이상으로 기록되는지 확인한다.

• 시스템 보호 강화: 운영체제 레벨에서 ASLR, DEP, Stack‑Canary 등 메모리 보안 기능을 활성화하고, MMS 프로세스에 대한 리소스 제한(cgroup/ulimit) 적용.

  • 구현 난이도: ★★★ (운영체제 재부팅 필요)
  • 운영 영향: 성능 저하가 미미하게 발생할 수 있음.
  • 검증 방법: sysctl -a | grep randomize_va_space 등으로 보안 옵션 적용 여부 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None