[단독공격] 분석 — CVE-2026-65421

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

• 트리거 조건: MMS 서비스가 수신하는 BER‑인코딩된 메시지의 고정‑폭 Boolean/Integer 필드에 포함된 length 값이 검증되지 않음. 공격자는 이 값을 의도적으로 크게 설정해 버퍼 끝을 넘어 읽게 만든다.

• 공격 표면: MMS 서비스가 바인드하는 네트워크 포트(예: IEC 60870‑5‑104, OPC UA 등)에서 수신되는 BER 메시지 전체가 입력 벡터이며, 특히 length 필드를 포함한 TLV 구조가 노출된다.

• 단계 흐름

  1. 정찰 – 내부·인접 네트워크 스캔으로 MMS 엔드포인트와 포트를 식별한다 (nmap -sS -p <MMS‑port> 등).
  2. 초기 접근 – 정상적인 MMS 세션을 수립한 뒤, BER 인코딩 단계에서 길이 필드를 조작한 패킷을 전송한다. CVSS 벡터 AV:A/AC:L/PR:N/UI:N에 부합한다(인접 네트워크, 낮은 복잡도, 권한·사용자 개입 불필요).
  3. 실행 – 디코더가 과장된 길이 값을 그대로 사용해 힙 버퍼를 읽어들인다 → 메모리 접근 위반 → 프로세스 비정상 종료.
  4. 권한 획득·지속 – 본 결함 자체는 권한 상승을 제공하지 않으며, 서비스 중단(DoS)만 초래한다. 따라서 공격자는 지속적인 영향을 얻기 위해 재시작 트리거를 반복 전송하거나, 서비스 복구 메커니즘을 악용해 자동 재시작 루프를 유도할 수 있다.
  5. 영향 – MMS 서비스 프로세스가 강제 종료되어 통신이 차단되고, 연관 시스템(PLC·SCADA 등)에서 제어 흐름이 중단된다.

• 원리 요약: 길이 검증 부재 → 힙 버퍼 경계 초과 읽기 → SIGSEGV/프로세스 종료. 이는 전통적인 out‑of‑bounds read 메모리 손상 패턴이며, 공격자는 이를 이용해 서비스 가용성을 저하시킨다.

악용 가능성: 이 취약점은 MMS 서비스가 사용하는 BER 디코더에서 고정 길이 필드의 길이값을 검증하지 않아 힙 버퍼를 초과 읽게 되는 결함이며, 공격자는 동일 네트워크(AV = Adjacent) 상에 있는 장치에 임의의 MMS 패킷을 전송하기만 하면 됩니다. 권한 요구가 없고(PR = None) 사용자 개입도 필요하지 않으며(UI = None), 길이값을 조작하는 정도의 간단한 변조만으로 충분하므로 공격 복잡도는 낮습니다(AC = Low). 실제 트리거 조건은 MMS 프로토콜이 사용하는 TCP 102 포트 등 공개된 엔드포인트에 포함된 BER‑encoded 메시지 안의 길이 필드에 비정상적으로 큰 값을 삽입하는 것입니다. 이 입력을 디코딩하면 힙 버퍼를 벗어나 읽게 되고 서비스 프로세스가 비정상 종료되어 서비스 거부(DoS) 상태가 발생합니다. EPSS 점수가 제공되지 않아 현재 관측된 악용 사례는 적지만, CVSS 벡터가 보여 주듯 공격 전제조건이 매우 완화돼 있어 실전에서 활용될 가능성은 여전히 존재합니다. KEV 리스트에 등재되지 않은 것은 아직 광범위한 공격이 보고되지 않았음을 의미하지만, 네트워크 접근만으로 손쉽게 트리거할 수 있다는 점을 고려하면 방어자는 해당 디코더를 차단하거나 입력 검증을 강화하는 것이 필요합니다.

• MMS 서비스 프로세스가 강제 종료돼 실시간 데이터 교환이 중단된다.
• 복구 없이 지속될 경우 산업 제어 시스템의 운영 지연·중단 위험이 발생한다(가용성 손실).
• 권한 상승이나 원격 코드 실행은 이 결함만으로는 발생하지 않는다.

• 유형: CWE‑125 (Out‑of‑bounds Read) 및 CWE‑787 (Out‑of‑bounds Write, 추정: 해당 디코더가 추가 검증을 수행한다면 쓰기 오버플로우와 연계될 가능성).
• 체이닝 패턴:
  • DoS → Privilege Escalation: 서비스 재시작 로직에 취약점이 존재할 경우, 반복적인 크래시를 이용해 시스템 로그·감사 메커니즘을 회피하고, 이후 권한 상승 취약점(CWE‑269 등)으로 전환 가능(추정).
  • DoS → Information Leakage: 프로세스 충돌 시 메모리 덤프가 남으면 민감 데이터가 유출될 위험이 있다(추정).

• 시스템 로그에 “MMS service terminated unexpectedly” 혹은 “segmentation fault in BER decoder”와 같은 메시지가 반복적으로 기록됨.
• 프로세스 모니터링 툴에서 MMS 서비스의 비정상적인 재시작/크래시 이벤트가 급증함.
• 네트워크 IDS/IPS 규칙: 비정상적으로 큰 length 값을 가진 BER TLV 패킷 탐지 (ber.length > expected_max).

1. 즉시: MMS 서비스에 접근 가능한 네트워크를 제한하고, 불필요한 인접‑네트워크 연결을 차단한다.
2. 패치 적용: 벤더가 제공하는 BER 디코더 입력 검증 업데이트(길이 상한 검증) 또는 최신 라이브러리로 교체한다.
3. 보호 강화: ASLR, Stack Canaries, DEP 등 메모리 보호 기법을 활성화하고, 서비스 프로세스에 최소 권한 실행을 적용한다.
4. 관찰: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 설정하고, 크래시 후 자동 복구 스크립트를 검토해 악용 루프 방지를 구현한다.

본 보고서는 다중 소스 교차검증([교차검증]에서 일관성 확인)과 EPSS 미확보·moderate 악용 예측([실측 악용예측])을 기반으로, 규칙 기반 우선순위 결정([우선순위 결정]: CVSS 6.5 + non‑KEV + exploit moderate → 이번 주 내 대응) 결과 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None