[공격] 분석 — CVE-2026-42771

• 심각도 medium · CVSS 6.2 · EPSS 0.00218 · 악용난이도 hard

• 트리거 조건

  • 외부에서 전송된 메일의 From: 헤더에 로컬 파트가 64 바이트를 초과하는 임의 문자열을 삽입한다.
  • 해당 메일이 OpenSSL‑기반 S/MIME 검증 모듈(메일 서버, 게이트웨이, 클라이언트)에서 처리될 때 X509_VERIFY_PARAM_set1_email 가 호출된다.

• 공격 단계

  1. 정찰 – 대상 서비스가 OpenSSL 3.x 이상이며 S/MIME 검증을 수행하는지 확인(포트 25/587, IMAP 993 등).
  2. 초기 접근 – SMTP를 이용해 조작된 From: 주소가 포함된 메일을 전송한다(네트워크 접근 → CVSS AV:L 로 표시되지만 실제는 원격 메일 전달).
  3. 실행 – 검증 함수 내부의 헬퍼가 잘못된 길이(strlen 대신 고정 64)로 복사하면서 OOB read 발생, 결국 segfault 혹은 비정상 종료.
  4. 영향 – 프로세스 크래시 → 서비스 가용성 상실(DoS).

• 공격 표면

  • OpenSSL API: X509_VERIFY_PARAM_set1_email, X509_VERIFY_PARAM_add_email
  • 입력 파라미터: 이메일 로컬 파트 문자열, 길이 검증 부재 → 64 바이트 제한 무시

• CVSS 연계

  • AV:L(로컬)·AC:L·PR:N·UI:N 은 “공격자는 이미 메일 서버에 접근할 수 있는 상태”를 가정하지만 실제 네트워크 전송을 통해 원격 트리거가 가능함을 의미한다.

악용 가능성: 이 취약점은 AV:L (로컬) · AC:L (낮은 복잡도) · PR:N (권한 불필요) · UI:N (사용자 상호작용 없음) 벡터가 의미하듯, 공격자는 대상 시스템에 직접 코드를 실행할 수 있는 환경이 필요하지만 별도의 관리자 권한이나 사용자의 클릭을 요구하지 않습니다. 따라서 로컬 사용자 혹은 악성 이메일을 자동으로 처리하는 메일 서버·클라이언트와 같이 X509_VERIFY_PARAM_set1_email 함수를 호출하는 애플리케이션에 접근할 수 있다면, 조작된 From: 주소만으로도 버퍼 경계 초과 읽기가 발생해 프로세스가 충돌합니다. EPSS = 0.00218이라는 실측값은 전체 CVE 중 매우 낮은 빈도를 보이지만, 실제 공격이 전혀 불가능한 것은 아니며, 특히 내부 위협이나 악성 자동화된 메일 흐름에서 위험이 존재함을 시사합니다. KEV에 등재되지 않은 점은 현재까지 대규모 공개 익스플로잇 사례가 보고되지 않았음을 의미하지만, 로컬 권한 없이도 충돌을 유발할 수 있다는 점에서 방어자는 무시하기 어려운 “실전 위협”으로 판단해야 합니다. 공격 표면은 S/MIME 검증 과정 중 전달되는 이메일 주소 문자열이며, 해당 파라미터가 노출된 모든 OpenSSL 기반 서비스(메일 클라이언트, 메일 게이트웨이, 문서 서명 도구 등)가 잠재적 진입점이 됩니다. 결국 공격자는 로컬에서 악성 메일을 전송·수신하거나, 해당 라이브러리를 사용하는

• 주요 위험: 서비스 프로세스 크래시 → 인증/메일 전달 중단(DoS).
• 추정: 메모리 읽기 자체는 외부에 노출되지 않으며, 현재 보고된 바에 따르면 민감 데이터 유출 가능성은 낮다.

• 유형: CWE‑119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) → OOB read.
• 가능한 체인:
  • OOB read → 메모리 레이아웃 정보 수집(Info Leak, 추정) → 동일 프로세스 내 다른 메모리 손상 취약점(CWE‑416 등)과 결합 시 원격 코드 실행 가능성.
• 추정: 현재 알려진 다른 OpenSSL 버그와 직접적인 연계는 없으며, 별도 권한 상승/코드 실행 단계가 필요하다.

• 프로세스 비정상 종료(시그널 SIGSEGV) 로그에 “X509_VERIFY_PARAM_set1_email” 스택 트레이스 포함 여부.
• 이메일 파싱 시 로컬 파트 길이가 64 바이트를 초과하는 경우 기록되는 경고.
• 네트워크 레벨: 동일 메일에 대해 반복적인 크래시가 발생하면 IDS/IPS에서 “large‑email‑local‑part” 패턴 매칭.

• 즉시: OpenSSL 3.0.13 이상(또는 해당 취약점이 포함된 최신 릴리즈)으로 업데이트.
• 임시: S/MIME 검증을 비활성화하거나, 애플리케이션 레이어에서 이메일 로컬 파트 길이를 64 바이트 이하로 제한한다.
• 모니터링: 크래시 로그와 메일 서버의 From: 헤더를 실시간으로 감시하고, 이상 징후가 포착되면 해당 세션을 차단한다.

본 보고서는 다중 소스 교차검증 결과(불일치 없음)와 EPSS 0.00218(실제 악용 확률 낮음)을 바탕으로 “monitor” 우선순위(보수적 CVSS 6.2·non‑KEV·hard exploit)로 판단하였다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.2 · non-KEV · EPSS=0.00218 · exploit=hard · in_scope=None