[방어] 분석 — CVE-2026-61893

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 easy

공격자는 IEC 60870‑5‑104 프로토콜의 I‑frame(TypeID = 104, C_TS_NA_1)에서 objectCount 필드를 비정상적으로 크게 설정한 패킷을 전송합니다. 수신 측 TestCommand_getFromBuffer 함수가 힙에 할당된 메시지 버퍼 길이를 초과하여 1바이트를 읽음으로써 out‑of‑bounds read가 발생하고, 메모리 내용 노출·프로세스 비정상 종료 등으로 이어집니다. 네트워크 접근만 있으면 추가 권한 없이 악용이 가능하므로 CVSS 3.1 벡터 AV:N/AC:L/PR:N/UI:N 로 “easy” 등급이 부여되었습니다.

악용 가능성: 이 취약점은 AV:N (네트워크를 통해 원격에서 접근 가능) + AC:L (공격 구현 난이도가 낮음) + PR:N (특권 없이 이용 가능) + UI:N (사용자 개입 전혀 필요)이라는 CVSS 벡터가 그대로 실제 공격 전제조건과 일치합니다. 즉, IEC 60870‑5‑104 프로토콜을 사용 중인 장비의 TCP 2404 포트에 접근할 수만 있으면, 특별한 사전 준비 없이도 악의적인 I‑frame(TypeID 104, C_TS_NA_1)을 전송해 취약 함수를 트리거할 수 있습니다. 공격자는 객체 개수 필드를 비정상적으로 크게 설정함으로써 TestCommand_getFromBuffer 가 힙 버퍼 끝을 넘어 1바이트를 읽게 만들고, 메모리 손상을 유발하거나 임의 코드를 실행시킬 수 있는 기반을 마련합니다. EPSS 데이터가 아직 제공되지 않고 KEV 리스트에도 등재되지 않았지만, CVSS AV:N/AC:L/PR:N/UI:N 조합이 “easy” 등급을 부여한 이유는 위와 같이 네트워크 노출만으로 충분히 재현 가능한 공격 경로가 존재하기 때문입니다. 따라서 실제 위험성은 이론적 심각도와 별개로, IEC 60870‑5‑104 서비스를 외부에 개방하고 있는 모든 시스템이 직접적인 표적이 됩니다. 공격 표면은 주로 IEC 60870‑5‑104 서버가 파싱하는 I‑frame 처리 로직(특히 TestCommand_getFromBuffer)과 해당 포트에서 수신되는 전체 프레임이며, 프로토

• 메모리 내용 노출: 힙에 존재하는 인증 토큰·키·제어 명령 구조체가 유출될 수 있음.
• 서비스 불안정: OOB read 로 인한 프로세스 크래시 → IEC 104 서버 가용성 저하(DoS).
• 추가 공격 경로: 누수된 메모리 정보를 이용해 함수 포인터 오버라이트 등 RCE 단계로 전이될 가능성이 존재함.

Memory‑corruption 유형(CWE‑125, CWE‑787)과 유사하게 IEC 60870‑5‑104 스택에서 경계 검증 부재가 반복되는 경우, 동일 구현을 공유하는 다른 산업용 통신 제품에서도 연쇄적인 메모리 누수·권한 상승 공격이 가능할 수 있습니다.

• 네트워크 로그
  • 로그 소스: 방화벽/IDS (포트 2404) 패킷 페이로드.
  • 관심 필드: typeid, objectCount.
  • SIEM 쿼리 예시 (Splunk)

 1index=network sourcetype="firewall" dest_port=2404
 2| eval payload=hexdecode(payload)
 3| regex payload "(?i)typeid\s*=\s*104.*objectcount\s*[:=]\s*(\d{4,})"
 4| where tonumber(substr(payload,searchmatch[1])) > 1000
 5| stats count by src_ip dest_ip

• IDS/IPS 서명 (Snort/Suricata)
  bash복사

   1alert tcp any any -> $HOME_NET 2404 (msg:"IEC104 oversized objectCount"; flow:to_server; content:"|68 00|"; offset:0; depth:2; byte_test:4,>,1000,8; sid:2026001;)

• 애플리케이션 로그
  • 로그 소스: IEC 104 서버 프로세스 로그.
  • 키워드: TestCommand_getFromBuffer, out of bounds, buffer overrun.
  • Elastic Query

 1filebeat-* AND message:"TestCommand_getFromBuffer" AND (message:"out of bounds" OR message:"buffer overrun")

• 오탐 튜닝
  정상적인 대용량 ASDU 전송 시 objectCount 가 500~800까지 허용될 수 있으므로 임계값을 >1000 으로 설정하고, 동일 src_ip 에서 5회 이상 연속 발생할 경우에만 경보를 상승시킵니다.

• 고급 탐지(선택)
  eBPF 기반 커널 프로브를 이용해 해당 버퍼 영역(TestCommand_getFromBuffer 내부)への read 시도를 감시하고, 비정상적인 offset 접근이 로그로 기록되도록 할 수 있습니다. 구현 전 로그 무결성 보호와 성능 영향을 사전 검증해야 합니다.

• 즉시(긴급 차단)

  • 조치: 방화벽 ACL에 deny tcp any any -> <IEC104 서버 IP> 2404 를 적용하고, 신뢰된 IP 목록만 allow 로 예외 처리합니다.
  • 구현 난이도: ★★☆☆☆ (방화벽 정책 수정만으로 적용 가능)
  • 운영 영향: IEC 104 서비스를 이용하는 외부 시스템과의 통신이 일시 중단됩니다. 차단 후 내부 테스트 클라이언트로 연결 시도가 DROP 되는지 확인하여 검증합니다.

• 단기(완화)

  1. 프로토콜 파서 강화 – 수신된 I‑frame 의 objectCount 를 1000 이하로 제한하는 입력 검증 로직을 애플리케이션 설정(maxObjectCount=1000) 혹은 코드 레벨 패치에 삽입합니다.
     • 난이도: ★★★☆☆ (구성 파일 수정 또는 소스 재컴파일 필요)
     • 운영 영향: 대용량 계통 데이터 전송 시 일부 정상 패킷이 차단될 수 있으므로 사전 테스트 권고.
  2. IDS/IPS 서명 배포 – 위에서 제시한 objectCount > 1000 서명을 IDS에 적용해 탐지·차단합니다.
     • 난이도: ★★☆☆☆ (서명 추가 후 재시작)
     • 운영 영향: 네트워크 처리량에 미미한 부하만 발생.

• 근본(해결)

  • 패치 적용 – 공급업체가 제공하는 메모리 경계 검증 패치를 신속히 배포합니다. 해당 패치는 TestCommand_getFromBuffer 내부에서 버퍼 길이와 objectCount 상한을 검사하도록 수정됩니다.
    • 난이도: ★★★★☆ (패키지 적용·서비스 재시작 필요)
    • 운영 영향: 서비스 중단 시간이 발생하므로 유지보수 창에 맞춰 적용하고, 사전 테스트 환경에서 정상 동작 확인 후 프로덕션에 적용합니다.
  • 버전 업그레이드 – IEC 60870‑5‑104 스택이 포함된 제품의 최신 릴리스로 교체하면 구조적인 메모리 관리 개선과 추가 보안 강화가 함께 제공됩니다.

• 잔여 리스크
  임시 차단·입력 검증을 적용하더라도 내부망에서 신뢰된 엔드포인트가 악용될 경우 OOB read 가 발생할 수 있습니다. 따라서 패치 배포 전까지는 탐지 규칙을 지속적으로 모니터링하고, 의심 트래픽이 발견되면 해당 호스트를 격리하는 절차를 마련해야 합니다.

• 인시던트 대응 플레이북

  1. IDS/IPS 경보 발생 → src_ip 확인 후 방화벽 ACL에 즉시 차단 규칙 추가.
  2. 대상 서버 로그에서 TestCommand_getFromBuffer 관련 오류 검색.
  3. 필요 시 메모리 덤프·코어 파일 수집하여 OOB read 로 인한 데이터 누출 여부 분석.
  4. 서비스 재시작 및 패치 적용 계획 가속화.

우선순위 근거 – 교차검증 결과 다중 소스에서 일관성이 확인되었으며(CVE-2026-61893, 보수적 medium), EPSS 데이터가 없지만 exploit 난이도가 “easy”이고 KEV에 등재되지 않은 점을 고려해 이번 주 내 (“scheduled”) 대응을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None