취약점 세부 정보
"Nightmare Eclipse"라는 이름으로 알려진 보안 연구원 압델하미드 나세리는 Windows 시스템을 대상으로 하는 새로운 제로데이(Zero-Day) 취약점의 세부 정보를 공개했습니다. SignDrop으로 알려진 이 취약점은 공통 로그 파일 시스템(Common Log File System - CLFS)의 논리적 결함을 악용하여 로컬 사용자가 시스템(System) 수준으로 권한을 상승시킬 수 있도록 합니다.
CLFS는 커널 모드에서 복잡한 로그 파일을 분석하는 Windows의 핵심 구성 요소이며, 그동안 공격자들의 빈번한 표적이 되어 왔습니다. 마이크로소프트가 작년에 파일 무결성을 강화하기 위해 로그 파일에 대한 인증 메커니즘을 도입했음에도 불구하고, 이번 새로운 취약점은 .cnpf 확장자를 가진 인증 파일이 처리되는 방식을 조작하여 이러한 보호 기능을 우회합니다.
익스플로잇 작동 원리
이 취약점은 로그 파일을 열 때 CLFS가 수행하는 동작에 의존합니다. 시스템은 컨테이너 파일이 비어 있더라도 서명을 시도합니다. 공격자는 로그 파일을 생성하고 컨테이너와 연결된 경로를 지정한 다음, RPC(원격 프로시저 호출) 인터페이스를 통해 Windows Defender가 안티멀웨어 엔진 컨텍스트 내에서 해당 파일을 열도록 강제할 수 있습니다.
이 과정에서 Defender는 공격자가 지정한 경로에 시스템 권한으로 서명 파일을 생성하게 됩니다. 파일이 생성되면 공격자는 이를 다시 열어 악성 페이로드를 삽입할 수 있으며, 결과적으로 시스템 전체 권한을 가진 셸(Shell)을 실행하게 됩니다.
사용자에게 미치는 영향
연구원에 따르면 이 취약점은 Windows 11 26H2 및 Windows Server 2025를 포함한 광범위한 Windows 버전에 영향을 미칩니다. 특히 지난 90일 동안 업데이트되지 않은 전 세계 Windows 장치의 약 80%가 영향을 받을 수 있는 것으로 추정됩니다.
마이크로소프트 측은 보고된 취약점을 조사 중이며 영향을 받는 제품을 업데이트하기 위한 필요한 조치를 취하고 있다고 밝혔습니다. 또한 현재 Windows Defender는 이 취약점을 악용하려는 시도를 탐지 및 차단하고 관련 권한 상승 행위를 경고할 수 있다고 설명했습니다. 이 취약점을 성공적으로 테스트한 사이버 보안 기업 Cyderes의 보고서에 따르면, 아직까지 실제 공격(In the wild)에서 이 취약점이 악용된 증거는 발견되지 않았습니다.