[CVE] CVE-2026-116014 (CVSS 8.1 · HIGH) [CWE-190]

핵심 요약

open62541 라이브러리 1.5.0부터 1.5.7 이전 버전에서 `UA_DataType_fromStructureDescription()` 함수에 정수 오버플로우 취약점(CVE-2026-116014, CVSS 8.1)이 발견되었습니다. 이 취약점은 악의적인 OPC UA 서버가 조작된 데이터 타입 정의를 클라이언트에 제공할 경우, `decodeBinaryStructure()` 함수에서 힙 오버플로우를 유발하여 클라이언트 시스템을 충돌시키거나 임의 코드 실행을 가능하게 합니다. 이는 CWE-190 정수 오버플로우에 해당하며, 클라이언트 측에서 신뢰할 수 없는 데이터를 처리하는 과정에서 발생하는 전형적인 소프트웨어 취약점입니다. IT 감사인은 OPC UA를 사용하는 시스템의 `open62541` 라이브러리 버전을 즉시 확인하고, 최신 보안 패치 적용 여부를 점검하여 잠재적인 서비스 중단 및 코드 실행 위협에 대비해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치`open62541` 라이브러리를 사용하는 모든 OPC UA 클라이언트 시스템은 즉시 1.5.7 이상 버전으로 업데이트를 적용해야 함을 권고함.
• ✔기술적 조치OPC UA 클라이언트 애플리케이션은 외부로부터 수신하는 모든 데이터 타입 정의에 대해 엄격한 입력 유효성 검증 및 경계값 검사를 수행하도록 보안 코드를 강화해야 함을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위해 사용 중인 모든 오픈소스 라이브러리 및 서드파티 컴포넌트에 대한 SBOM(Software Bill of Materials)을 구축하고, 정기적인 취약점 스캐닝 및 패치 관리 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치잠재적인 메모리 관련 취약점 공격(예: 힙 오버플로우)을 탐지하고 대응하기 위한 EDR, IPS, SIEM 등의 보안 솔루션 정책을 최신 위협 정보에 기반하여 지속적으로 고도화하고, 관련 보안 이벤트 모니터링 및 분석 절차를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기