[단독방어] 분석 — CVE-2026-63559

• 심각도 high · CVSS 7.5 · EPSS 미확보 · 악용난이도 easy

open62541을 이용한 OPC UA 서버에 네트워크를 통해 특수히 조작된 Read 혹은 Browse 요청을 전송한다.
요청 본문에 비정상적으로 큰 arrayDimensions 값들을 포함시키면, UA_Variant 내부에서 차원 곱셈 시 integer overflow가 발생하고, 서버는 계산 결과보다 더 큰 메모리 영역을 읽어 반환한다. 인증·권한이 전혀 필요 없으며, 성공 시 힙에 존재하는 임의 데이터(키, 토큰 등)가 노출된다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 네트워크만으로 접근 가능하고, 공격 로직도 단순하며 별도의 권한이나 사용자 동작을 요구하지 않으므로 실제 공격 난이도가 매우 낮습니다. open62541가 제공하는 OPC‑UA 서버(기본 포트 4840)에서 UA_Variant 구조체의 arrayDimensions 곱셈에 과다한 정수 값을 전송하면 정수 오버플로우가 발생하고, 힙 메모리 외부를 읽어 민감 데이터가 유출될 수 있습니다. 공격자는 OPC‑UA Read 또는 Write 서비스 호출 시 조작된 배열 차원 파라미터만 전달하면 되므로 트리거 조건은 “특정 Service + 과다한 dimension 값” 하나로 충분합니다. KEV 리스트에 등재되지 않았고 EPSS 점수가 제공되지 않아 현재까지 대규모 악용 사례가 보고되지 않은 것이 사실이지만, 공개된 취약 상세와 낮은 복잡도 때문에 공격자가 자체적으로 PoC를 개발할 가능성은 여전히 존재합니다. 따라서 노출된 OPC‑UA 엔드포인트가 외부에 직접 개방돼 있다면, 별도의 인증·암호화 없이 해당 서비스에 접근 가능한 상황이 곧바로 실질적인 위협으로 전환될 수 있습니다. 요약하면, 공격 표면은 네트워크상 OPC‑UA 서버와 그 서비스 파라미터이며, 조건 충족이 쉬워 악용 가능성은 “이론적 위험”을 넘어 실제 위험 수준으로 평가해야 합니다.

• 기밀성 손실: 공격자는 힙에 남아 있는 다른 프로세스 메모리(예: TLS 키, 인증 토큰, 비밀번호)를 읽어 탈취할 수 있다.
• 추가 침해 경로: 획득한 민감 정보가 내부 시스템에 대한 추가 공격(특권 상승, 세션 하이재킹)으로 이어질 가능성이 있다.
• 서비스 가용성: 일부 구현에서는 오버플로우 후 프로세스 크래시가 발생할 수 있어 일시적 서비스 중단 위험도 존재한다.

• 동일한 OPC UA 스택(open62541) 기반 다른 CVE(예: 과거 CVE‑2022‑XXXXX의 배열 길이 검증 부재)와 연계하면 메모리 손상·코드 실행까지 확장될 수 있다.
• 공격자는 획득한 기밀 정보를 이용해 인증 우회(예: stolen credentials) 혹은 권한 상승(예: CVE‑2022‑XXXXX와 결합) 공격을 수행할 가능성이 있다.

• Rule 1 – Library 오류 로그

  text복사

   1sourcetype=opcua_logs "arrayDimensions overflow"
   2| stats count by host, sessionId, nodeId, _time
   3| where count > 0

  오탐 튜닝: 정상 테스트 환경에서 대량 데이터 전송이 필요할 경우 test_ prefix가 있는 nodeId를 제외한다.

• Rule 2 – 크래시 이벤트

  text복사

   1index=host_logs (message="segfault" OR message="SIGSEGV") 
   2AND process_name="open62541_server"
   3| table host, _time, pid, stack_trace

  오탐 튜닝: 커널 자체가 메모리 압박으로 발생시키는 일반적인 segfault와 구분하기 위해 stack_trace에 UA_Variant_ 문자열이 포함된 경우만 알림.

• Rule 3 – 비정상적 OPC UA 요청

  text복사

   1sourcetype=network_flow protocol="opcua"
   2| regex request_body="ArrayDimensions[^}]*([0-9]{7,})"
   3| eval dim_value=tonumber(replace(request_body,".*ArrayDimensions[^0-9]*([0-9]+).*","\\1"))
   4| where dim_value > 1048576   // 2^20
   5| stats count by src_ip, dest_ip, dest_port

  오탐 튜닝: 사전 정의된 테스트 클라이언트 IP(10.0.0.*)를 화이트리스트에 추가한다.

1. open62541 설정에서 maxArrayLength(또는 유사 옵션)를 10 000 이하로 강제 적용.
2. 애플리케이션 레벨에 arrayDimensions 검증 로직 삽입 → 차원 곱이 INT_MAX 초과 시 요청을 거부하고 경고 로그 기록.
3. 로그 수준 상승: 라이브러리 오류를 warning→error 로 전환하여 SIEM 수집 보장.

• 구현 난이도: ★★★☆☆ (코드 수정·재배포 필요) → 운영 영향: 기존 클라이언트가 큰 배열을 요구할 경우 서비스 거부(403).
• 검증 방법: 정상/비정상 요청 각각에 대해 응답 코드와 로그 발생 여부 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None