[단독공격] 분석 — CVE-2020-1350

• 심각도 critical · CVSS 10.0 · EPSS 0.91353 · 악용난이도 easy · KEV

• 공격 표면: UDP/TCP 53 포트의 DNS 서버가 처리하는 모든 DNS 요청. 특히 ANY 쿼리와 특정 형식의 레코드(예: TXT, SRV)가 내부 파서에서 메모리 할당/해제 로직을 오동작하게 함.
• 트리거 조건: 네트워크 상에 노출된 DNS 서버에 대해 인증·권한이 전혀 필요 없는 단일 패킷을 전송하면, 파서 오류가 발생하고 임의 코드 실행이 가능함(AV:N/AC:L/PR:N/UI:N).
• 단계별 흐름
  1. 정찰 – 포트 스캔·DNS 버전 확인 → “Microsoft Windows Server 2008‑2019 DNS” 식별.
  2. 초기 접근 – UDP 53에 악의적 DNS 요청 전송(특수 crafted packet). 네트워크 경계만 통과하면 즉시 실행 가능.
  3. 실행·권한 획득 – 취약 함수(DnsUpdateRecord) 내부에서 임의 코드가 커널 모드(R0)로 상승, SYSTEM 권한을 획득.
  4. 지속 – SYSTEM 권한으로 레지스트리 HKLM\SYSTEM\CurrentControlSet\Services\Dnscache에 악성 서비스 등록 또는 WMI 이벤트 구독 설정.
  5. 영향 – 전체 도메인 컨트롤러 및 연결된 워크스테이션이 원격에서 제어당함, 데이터 유출·랜섬웨어 전파 등 전면적인 침해가 가능.
• 관측 지표: 비정상적인 DNS 패킷 크기(> 512 B)와 특정 OPCODE/쿼리 타입 조합, 서버 로그에 “DNS packet processing error” 메시지 급증.

악용 가능성: 이 취약점은 AV:N/AC:L/PR:N/UI:N 로 표시된 바와 같이 네트워크를 통해 원격에서, 인증·사용자 상호작용 없이 바로 트리거될 수 있어 공격 난이도가 “easy” 수준으로 평가됩니다. EPSS 0.91353(≈91 %)이라는 높은 실측 위험 점수와 KEV에 등재된 사실은 실제 악용 사례가 빈번히 보고되고 있음을 의미합니다. 공격자는 DNS 서버가 수신하는 UDP/TCP 53 포트의 요청 패킷 중 특정 형식(예: 과도하게 긴 레코드 혹은 조작된 압축 포인터)을 이용해 메모리 오버플로우·잘못된 포인터 역참조를 유발합니다. 이때 노출되는 엔드포인트는 DNS 서비스 자체이며, 파라미터는 요청 헤더와 레코드 데이터, 내부 함수는 DnsQuery·RtlAllocateHeap 등 메모리 할당·해제 루틴입니다. 초기 정찰 단계에서는 포트 스캔 및 DNS 응답 확인만으로 대상 서버를 식별할 수 있고, 성공적인 트리거 후에는 임의 코드 실행을 통해 시스템 권한을 획득하거나 추가 악성 페이로드를 내려놓는 것이 일반적인 체인 흐름입니다. 따라서 방어자는 네트워크 경계에서 DNS 포트에 대한 접근 제어와 비정상적인 패킷 길이·구조 검증을 강화하는 것이 핵심 방어 포인트가 됩니다.

• 공격자는 도메인 전체를 장악하고 파일 시스템·레지스트리·네트워크 트래픽을 자유롭게 제어한다.
• 데이터 유출, 랜섬웨어 배포, 내부 인증 정보 탈취 등 전면적인 비즈니스 중단 위험이 존재한다.

• 메모리 관리 결함 (CWE‑787) → 메모리 오버플로/오프바이원 오류를 이용해 커널 코드 실행.
• 권한 상승 패턴: SYSTEM 권한 획득 후 인증 토큰 탈취·시스템 서비스 위조(CWE‑264) 로 이어짐.
• 추정: 동일 네트워크에 존재하는 오래된 SMB/Netlogon 취약점(CWE‑284)과 결합하면 도메인 컨트롤러 간 인증 우회가 가능할 수 있음.
• 추정: 로그온 세션 하이재킹(예: Mimikatz 사용) 과 연계하면 획득한 SYSTEM 권한을 사용자 계정으로 확장해 지속성을 강화한다.

• DNS 서버에서 비정상적인 ANY 또는 대용량 TXT/SRV 요청이 급증하는 경우.
• 이벤트 로그에 “DNS Server failed to allocate memory” 혹은 “Invalid packet received from <IP>” 오류가 다수 기록될 때.
• 네트워크 IDS/IPS에서 UDP 53 포트의 비정형 패킷 서명(특정 OPCODE+쿼리 타입 조합) 탐지.

• 즉시: 해당 DNS 서버를 인터넷·외부망과 격리하고, 불필요한 UDP 53 포트를 방화벽으로 차단.
• 최신 보안 업데이트 적용(마이크로소프트 공식 패치 KB4565349 이상).
• DNS 서버 서비스가 필요 없는 경우 비활성화하거나 별도 전용 호스트에 옮긴다.
• 로그 모니터링 및 IDS 서명 업데이트를 통해 위 악성 DNS 패킷을 실시간 차단한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.91353 · exploit=easy · in_scope=None