[분석가] 분석 — CVE-2026-50032

• 심각도 high · CVSS 7.5 · EPSS 0.00263 · 악용난이도 moderate

네트워크 인접 공격자가 MMS 프로토콜의 WriteRequest 메시지에 listOfData 필드를 빈 배열([])으로 포함시켜 전송하면, 서버는 해당 핸들러에서 NULL 포인터를 역참조하여 프로세스가 비정상 종료합니다. 이 단계는 단일 패킷만으로 완료되며, 인증·권한이 필요 없습니다(AV:N/AC:L/PR:N/UI:N).

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한 MMS Write Named Variable List 핸들러가 NULL 포인터 역참조를 일으키므로, AV:N(네트워크)와 PR:N(권한 없음) 조건만 충족하면 공격을 시도할 수 있습니다. AC:L(낮은 복잡도)으로 평가된 이유는 공격자가 비어 있는 listOfData 필드를 포함한 단순한 WriteRequest 패킷만 전송하면 되기 때문이며, UI:N(사용자 상호작용 없음)이라는 점은 별도의 피싱이나 악성 파일이 필요 없음을 의미합니다. EPSS 값 0.00263은 현재 관측된 실제 공격 가능성이 매우 낮다는 통계적 근거를 제공하지만, 이는 여전히 네트워크 인접 환경에서 손쉽게 트리거될 수 있다는 이론적 위험을 배제하지는 않습니다. KEV 목록에 등재되지 않은 점은 아직 공개적인 악용 사례가 보고되지 않았음을 뜻하므로, 현재 실전 위협은 제한적이라고 판단됩니다. 공격 표면은 MMS 프로토콜이 노출되는 서비스 포트(보통 102 또는 4840)와 WriteRequest를 수신하는 엔드포인트이며, 해당 파라미터 listOfData 가 비어 있을 때만 취약이 발현됩니다. 따라서 네트워크 경계 내에 이 서비스를 운영 중인 경우, 공격자는 최소한의 패킷 변조만으로 서버 크래시를 유발할 수 있는 잠재적 위험을 가지고 있습니다.

• 기술적 위험: 성공 시 대상 MMS 서버가 즉시 크래시하여 서비스 가용성이 상실됩니다. 현재 확인된 바에 따르면 원격 코드 실행(RCE)까지 이어지는 증거는 없으며, 이는 추정: 수준입니다.
• 비즈니스 리스크:
  • 산업 제어 시스템에서 MMS를 이용해 설비를 제어하는 경우, 서버 다운으로 인한 생산 라인 중단·SLA 위반이 발생할 수 있습니다.
  • 크래시 로그에 민감 정보가 남을 가능성이 있어 규정 준수(데이터 보호·감사) 리스크도 존재합니다.
• 영향 제품·노출 규모: 영향 제품은 공개되지 않았으나 MMS 프로토콜(TCP 102)을 구현한 모든 서버가 잠재 대상이며, 내부 서비스가 자동으로 WriteRequest를 생성할 경우 네트워크 차단만으로는 방어가 어려울 수 있습니다.

NULL 포인터 역참조 유형은 산업 제어 시스템의 다른 파싱 로직에서도 발견되며, 동일한 메모리 검증 부재가 존재할 경우 권한 상승이나 RCE와 연계될 가능성이 **추정:**됩니다. 현재 확인된 직접적인 체이닝 사례는 없습니다.

• 로그 시그니처: WriteRequest 처리 후 “NULL pointer dereference”, “segmentation fault”, SIGSEGV/SIGABRT 등이 기록되는 경우.
• 네트워크 패턴: MMS 페이로드에서 listOfData 필드가 빈 배열인 WriteRequest 탐지 (예시 정규식)
  text복사

   1^\x02\x01.*?listOfData\s*:\s*\[\]\s*$

• 운영 지표: 해당 시간대에 서버 프로세스 재시작 이벤트 급증 또는 서비스 비정상 종료 알림 발생 시 경보 생성.

• 즉시 조치
  • 방화벽/IDS‑IPS에서 MMS WriteRequest 중 listOfData가 빈 요청을 차단하고, 외부에서 TCP 102 포트 접근을 제한합니다.
  • 서버 충돌 시 자동 재시작 메커니즘과 크래시 로그 최소화를 적용해 가용성 손실 및 민감 정보 노출을 감소시킵니다.
• 근본 해결
  • 공급업체가 제공하는 패치가 배포될 때까지 애플리케이션 레벨에서 listOfData 존재 여부와 최소 길이를 검증하고, 빈 배열이면 요청을 거부하도록 로직을 추가합니다.
  • 최신 MMS 구현으로 업그레이드하거나, 필요 시 대체 프로토콜로 전환을 검토합니다.

우선순위 판단 근거: CVSS 7.5(High)·비 KEV·EPSS 0.00263(실측 악용 가능성 낮음)·악용 난이도 moderate를 종합해 이번 주 내 “scheduled” 대응으로 결정되었습니다([교차검증]에서 다중 소스 일관성 확인, [실측 악용예측] EPSS 수치 활용).

본 보고서는 교차 검증된 정보와 EPSS 기반 위험 예측을 바탕으로 규칙 기반 우선순위 결정을 적용한 결과임을 알려드립니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00263 · exploit=moderate · in_scope=None