[방어] 분석 — CVE-2020-1350

• 심각도 critical · CVSS 10.0 · EPSS 0.91353 · 악용난이도 easy · KEV

• 촉발 경로: 외부 또는 내부의 신뢰된 Resolver로부터 조작된(Malformed) DNS 응답 패킷을 수신할 때 발생합니다.
• 메커니즘: 추정: DNS 서버가 응답 패킷 내 특정 리소스 레코드를 파싱하는 과정에서 sigstruct 구조체와 같은 메모리 레이아웃 결함을 이용해 버퍼 오버플로우를 유발하고 실행 흐름을 탈취합니다.
• 공격 단계: 조작된 DNS 응답 전송(UDP/TCP 53) $\rightarrow$ dns.exe 프로세스 내 메모리 오염 $\rightarrow$ 임의 코드 실행(RCE) $\rightarrow$ SYSTEM 권한 획득.
• 특이사항: 외부 경계 보안이 있더라도, 내부망에 침투한 호스트가 조작된 응답을 보내거나 신뢰 관계의 Recursive Resolver를 통해 공격 패킷을 전달함으로써 트리거될 수 있어 네트워크 세그멘테이션만으로는 부족합니다.

악용 가능성: 본 취약점은 공격 난이도가 매우 낮으며 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터상 AV:N/AC:L/PR:N/UI:N으로 판정된 바와 같이, 인증되지 않은 외부 공격자가 특수한 권한이나 사용자 상호작용 없이 네트워크를 통해 즉시 트리거할 수 있는 구조입니다. 특히 EPSS 점수가 0.91353에 달하고 KEV(Known Exploited Vulnerabilities) 목록에 등재되었다는 점은 이론적 위험을 넘어 실제 야생(In-the-wild)에서 공격 도구가 유포되고 활발히 악용되고 있음을 입증합니다. 주요 공격 표면은 Windows DNS Server가 외부 요청을 처리하는 엔드포인트 및 관련 프로토콜 스택이며, 조작된 DNS 요청 패킷을 송신하는 것만으로 RCE(Remote Code Execution)를 유발할 수 있습니다. 결과적으로 인프라의 최전방에 노출된 DNS 서버의 특성상 공격자의 진입 장벽이 거의 없으며, 성공 시 도메인 컨트롤러 등 핵심 자산의 제어권을 즉시 탈취당할 수 있는 치명적인 위협입니다.

• 최고 권한 탈취: DNS 서비스는 통상 SYSTEM 권한으로 동작하므로, RCE 성공 시 즉시 OS 전체 제어권을 획득합니다.
• 인프라 거점화: 모든 엔드포인트와 통신하는 DNS 서버의 특성상 내부망 Lateral Movement를 위한 최적의 교두보가 됩니다.
• 서비스 가용성 파괴(SPOF): 메모리 오염으로 인한 dns.exe 프로세스 Crash가 빈번하게 발생하여 전체 네트워크 이름 해석 서비스가 중단되는 Single Point of Failure 리스크가 큽니다.

• 권한 상승 체이닝: 내부망 진입 후 일반 사용자 권한에서 DNS 서버의 취약점을 이용해 SYSTEM 권한으로 상승하는 경로로 활용 가능합니다.
• 신뢰 관계 악용: 신뢰된 Resolver 간 통신을 통해 방화벽 ACL을 우회하여 공격 패킷을 주입하는 형태로 체이닝될 수 있습니다.

프로토콜 핸들링 단계의 메모리 오염을 유발하므로 네트워크 트래픽과 프로세스 행위의 상관분석이 필수적입니다.

• 로그 지표 및 패턴:

  • Network (PCAP/IDS): DNS Response 패킷 중 Answer 또는 Additional 섹션의 길이 필드가 비정상적으로 크거나, 메모리 오염 유도용 더미 데이터(NOP Sled 등)가 반복되는 패턴.
  • Host (Event Log): Windows Event ID 1000(Application Error)에서 dns.exe 프로세스의 예외 발생 및 Crash 기록 확인.

• 탐지 규칙 예시:

  1. SIEM (프로세스 이상 행위): DNS 서버가 쉘을 실행하는 비정상적 자식 프로세스 생성 탐지.
     SELECT * FROM Process_Events WHERE ParentProcessName == 'dns.exe' AND ProcessName IN ('cmd.exe', 'powershell.exe', 'net.exe', 'whoami.exe')
  2. IDS/IPS (패킷 구조): DNS 응답 패킷의 리소스 레코드(RR) 길이 값이 표준 규격을 초과하거나 특정 패턴을 보이는지 검사.
     추정: /DNS_Response_Packet_Header.*?(?=Length_Field)(.{1,10})\x[FF]{16,}/ (메모리 오염 유도용 더미 데이터 탐지)
  3. EDR (메모리): dns.exe 프로세스의 Non-Executable 페이지에서 코드 실행 시도 또는 Stack Pivot 행위 모니터링.

• 오탐 튜닝: 대규모 Zone Transfer나 매우 긴 TXT 레코드를 사용하는 환경에서는 패킷 길이가 길어질 수 있습니다. 단순 길이 기반 탐지는 오탐률이 높으므로, 반드시 dns.exe의 Crash 로그 및 후속 프로세스 생성 이벤트와 결합하여 분석하십시오.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, 특히 실측값인 EPSS 0.91353은 실제 야생에서의 악용 가능성이 최고 수준임을 뜻합니다. KEV 등재 및 CVSS 10.0을 근거로 Immediate (24시간 내) 대응이 필요합니다.

• 즉시 (긴급 차단):

  • 조치: DNS 서버 ACL 설정을 통해 신뢰할 수 없는 외부 IP로부터의 재귀 쿼리(Recursive Query)를 즉시 차단하고, 허용된 내부 Resolver만 통신하도록 제한합니다.
  • 난이도/영향: 낮음 / 일부 외부 도메인 조회 불가 가능성 (운영 영향 확인 필요).
  • 검증: nslookup 또는 dig를 통해 외부망에서 해당 서버로의 재귀 쿼리 차단 여부 확인.

• 단기 (완화):

  • 조치: 네트워크 세그멘테이션을 강화하여 DNS 서버가 불필요한 내부 호스트와 직접 통신하지 않도록 격리합니다. 또한, 가능한 경우 DNS 서비스 계정의 권한 최소화(Privilege Drop)를 통해 RCE 성공 시 피해 범위를 제한합니다.
  • 난이도/영향: 중간 / 네트워크 구성 변경에 따른 관리 공수 증가 및 설정 복잡도 상승.
  • 검증: 방화벽 로그를 통해 비인가 세그먼트의 53 포트 접근 차단 여부 확인.

• 근본 (해결):

  • 조치: Microsoft 보안 패치를 즉시 적용합니다. DNS 서버는 인프라 전체의 SPOF이므로, 가용성 확보를 위해 L4 스위치 등을 통한 롤링 업데이트 방식으로 순차 패치를 진행하십시오.
  • 난이도/영향: 중간 / 서비스 재시작으로 인한 일시적 중단 발생 가능.
  • 검증: OS 빌드 버전 및 해당 KB 설치 완료 여부 확인.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.91353 · exploit=easy · in_scope=None