[방어] 분석 — CVE-2026-66369

• 심각도 medium · CVSS 6.5 · EPSS 미확보 · 악용난이도 moderate

GOOSE 파서는 EtherType 0x88B8인 멀티캐스트 프레임을 수신할 때 특정 필드(예: stNum) 를 파싱하면서 버퍼 포인터를 한 바이트 앞서 이동시켜 힙 영역을 초과 읽게 됩니다. 공격자는 물리적으로 같은 LAN 혹은 프로세스 버스에 연결된 상태에서 위조된 GOOSE 프레임 하나만 전송하면, 파서가 비정상 종료(SIGSEGV)되어 구독자 애플리케이션이 다운되고 가용성이 크게 손실됩니다(AV:A/AC:L/PR:N/UI:N/A:H).

악용 가능성: CVSS 벡터 AV:A/AC:L/PR:N/UI:N는 공격자가 대상 시스템이 연결된 LAN(또는 프로세스 버스)만 접근하면 되며, 복잡한 사전 준비 없이 단일 프레임을 전송할 수 있음을 의미합니다. 권한 요구가 없고 사용자 개입도 필요하지 않으므로 인증되지 않은 장치라면 누구든지 악의적인 GOOSE 멀티캐스트 프레임을 삽입할 수 있습니다. EPSS 데이터가 존재하지 않아 실제 공격 사례는 아직 보고되지 않았지만, KEV에 등재되지 않은 점은 현재까지 광범위한 악용이 관찰되지 않았음을 보여줍니다. 취약점의 공격 표면은 IEC 61850 GOOSE 프로토콜을 사용하는 레이어‑2 멀티캐스트 엔드포인트이며, 특히 서브스테이션 내 프로세스 버스에 연결된 구독자 애플리케이션이 대상입니다. 오프‑바이‑원 경계 처리 오류는 특정 GOOSE 메시지 필드가 포함된 하나의 프레임만으로도 내부 버퍼 위치를 잘못 이동시켜 힙 OOB 읽기를 유발하고, 결과적으로 구독자 프로세스가 비정상 종료되어 서비스 거부(DoS) 상태에 빠집니다. 이 프레

• 구독자 프로세스 강제 종료 → IEC 61850 기반 보호·제어 시스템의 실시간 데이터 흐름 차단
• 재시작 지연 또는 자동 복구 실패 시 전력 설비 운영 연속성 손실 위험
• 가용성에만 영향을 미치며 기밀·무결성은 직접적으로 침해되지 않음(C:N/I:N/A:H)

추정: 동일한 메모리‑오프바운드 패턴을 이용하는 다른 IEC 61850 GOOSE 파서 취약점과 결합될 경우, 추가적인 권한 상승이나 원격 코드 실행(RCE)으로 이어질 가능성이 존재합니다.

로그 지표

1. 커널 로그(dmesg / syslog) – “goose_parser” 또는 “heap out of bounds read” 문자열 포함 오류 메시지.
2. 애플리케이션 로그 – 구독자 프로세스가 SIGSEGV(코드 11) 혹은 SIGABRT(코드 6) 로 종료된 이벤트.
3. 네트워크 IDS/PCAP – EtherType 0x88B8 프레임 중 선언된 길이보다 실제 페이로드가 1바이트 초과되는 경우.

SIEM 규칙 예시 (Pseudo‑SQL)

• 규칙 1: 프로세스 비정상 종료

 1SELECT *
 2FROM syslog
 3WHERE process_name = 'goose_subscriber'
 4  AND event_type = 'process_exit'
 5  AND exit_code IN (11,6);

• 규칙 2: 커널 힙 오류

 1SELECT *
 2FROM kernel_log
 3WHERE message LIKE '%goose%out of bounds%' 
 4   OR message LIKE '%heap read%';

• 규칙 3: 이상 GOOSE 프레임

 1SELECT *
 2FROM network_traffic
 3WHERE eth_type = 0x88B8
 4  AND src_mac NOT IN (SELECT mac FROM known_goose_macs)
 5  AND payload_len > declared_len + 1;

오탐 튜닝

• 규칙 1·2: 정상 재시작 스크립트가 발생시키는 SIGTERM(코드 15) 은 제외.
• 규칙 3: 허용된 GOOSE 송신 장비 MAC 주소를 화이트리스트에 등록하고, 정상적인 길이 오차 ±1 byte 를 허용하도록 임계값을 조정.

1. 파서 입력 검증 강화 – 벤더가 제공하는 “strict mode” 옵션이 있으면 활성화. (난이도 중, 처리 지연 ≤5 %).
2. 구독자 프로세스 격리 – 컨테이너 또는 가벼운 VM 에 배치해 비정상 종료 시 전체 시스템 영향 최소화. (난이도 중·고, 리소스 사용량 ≈10 % 증가).
3. IDS/IPS 서명 배포 – 위 탐지 규칙을 IDS 엔진에 적용하고 알림을 SOC와 연동. (난이도 낮음).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None