[공격] 분석 — CVE-2026-54129

• 심각도 high · CVSS 7.0 · EPSS 0.00213 · 악용난이도 hard

• 공격 표면

  • vmms.exe(Hyper‑V Virtual Machine Management Service)의 IOCTL 인터페이스 또는 WMI 클래스 Msvm_VirtualSystemManagementService.
  • 입력 파라미터는 구조체/버퍼이며, 해제된 객체를 재사용하도록 조작할 수 있음.

• 트리거 조건 (CVSS AV:L/AC:H/PR:L/UI:N)

  • 로컬 계정(일반 사용자)으로 해당 서비스에 특수 버퍼를 전달하면 메모리 할당‑해제 타이밍을 맞춰 UAF가 발생한다.
  • 고난도(AC:H)는 정확한 힙 레이아웃 파악 및 해제 시점 조율이 필요함을 의미한다.

• 정찰

  • Get-WindowsOptionalFeature -Online –FeatureName Microsoft-Hyper-V 등으로 Hyper‑V 활성화 여부 확인.
  • 서비스 상태(sc query vmms)와 메모리 레이아웃 정보를 수집하기 위해 로컬 디버거/ETW를 활용할 수 있다(추정).

• 초기 접근

  • 별도 원격 접속 필요 없이 로컬 로그인만 있으면 충분; UI가 없으므로 자동 실행 가능.

• 실행·권한 획득

  1. UAF 트리거 → 커널 힙에 임의 데이터(예: 가짜 객체 포인터) 삽입.
  2. PsReferencePrimaryToken 등 내부 함수를 호출해 현재 프로세스 토큰을 SYSTEM으로 교체.
  • 결과적으로 PR:L(낮은 권한) 사용자가 즉시 SYSTEM 권한을 획득한다.

• 지속

  • SYSTEM 토큰을 이용해 악성 서비스·드라이버 등록, Scheduled Tasks에 영구 실행 항목 추가 등으로 지속성을 확보한다.

• 영향

  • 전체 시스템 제어, 레지스트리·파일·네트워크 전면 접근, 내부망 내 lateral movement가 가능해진다.

악용 가능성: 이 취약점은 AV:L 로 로컬 환경에서만 발동되며, 공격자는 대상 시스템에 이미 존재해야 함을 의미합니다. AC:H 로 복잡도가 높아 정확한 Hyper‑V API 호출 순서와 메모리 상태를 조작해야 하므로 재현이 어려운 편입니다. PR:L 은 낮은 권한(일반 사용자)만으로도 트리거가 가능하지만, UI:N 은 사용자의 직접적인 행동

• 공격자가 로컬에서 SYSTEM 권한을 얻으면 모든 파일·레지스트리·프로세스에 무제한 접근이 가능하고, 악성 코드를 배포하거나 네트워크 트래픽을 가로채는 등 전사적 보안 위협으로 확대된다.

• CWE‑416 (Use After Free) – 커널 메모리 해제 후 재사용을 통한 권한 상승 기본 패턴.
• 가능한 체인
  • 초기 침투 → 로컬 계정 획득(패스워드 스프레딩 등) → CVE-2026-54129 이용해 SYSTEM 획득 → 권한 위임 취약점(CVE‑2023‑XXXXX 등)과 결합하면 원격 코드 실행까지 확장 가능.
  • 가상 머신 이미지 검증 우회(예: CVE‑2024‑XXXXX)와 연계해 VM 내부에서 추가 공격을 수행할 수 있음(추정).

• vmms.exe 비정상 종료·재시작 이벤트(ETW Microsoft-Windows-Hyper-V-VMMS/Operational).
• 동일 객체에 대한 연속적인 FreeObject → 즉시 AllocateObject 로그 패턴.
• 프로세스 토큰이 갑자기 SYSTEM으로 변하는 보안 이벤트(ID 4688 등)와 생성된 프로세스 ID 차이.

• 패치 적용 – Microsoft에서 제공하는 최신 보안 업데이트를 즉시 배포한다(패치가 존재할 경우).
• Hyper‑V 비활성화 – 해당 기능을 사용하지 않는 워크스테이션·서버는 Windows Features → Hyper‑V 를 끄고 재부팅한다.
• 코드 무결성 강화 – Driver Signing, Code Integrity 정책 및 실행 제한(예: Device Guard)을 활성화해 서명되지 않은 커널 모듈 로드를 차단한다.
• 권한 최소화 – 로컬 계정에 불필요한 관리자 권한 부여를 금지하고, SeDebugPrivilege·SeLoadDriverPrivilege 등을 제한한다.
• 모니터링 – 위 탐지 지표를 SIEM/EDR에 연동하고, Hyper‑V 서비스 로그 레벨을 Verbose 로 설정해 상세 이벤트를 수집한다.

우선순위: 다중 소스에서 일관성이 확인됐으며(교차검증), EPSS 0.00213(낮은 실제 악용 가능성)에도 불구하고 로컬 권한 상승 위험이 크고 CVSS 7.0·exploit hard인 점을 고려해 이번 주 내 패치 및 비활성화 조치를 scheduled 로 지정한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.0 · non-KEV · EPSS=0.00213 · exploit=hard · in_scope=None