[방어] 분석 — CVE-2026-48565

• 심각도 high · CVSS 7.8 · EPSS 0.00432 · 악용난이도 hard

본 취약점은 Untrusted search path 결함으로 인해 발생합니다. 시스템 권한(SYSTEM)으로 동작하는 Windows Narrator Braille 프로세스가 DLL을 로드할 때, 신뢰할 수 없는 경로를 검색 순서에 포함하는 점을 악용합니다. 일반 사용자 권한의 공격자가 쓰기 권한이 있는 특정 디렉토리에 악성 DLL을 배치하면, 해당 서비스가 재시작되거나 트리거될 때 악성 DLL이 로드되어 SYSTEM 권한으로 임의 코드가 실행되는 LPE(Local Privilege Escalation) 경로를 가집니다.

악용 가능성: 본 취약점은 Windows Narrator Braille의 Untrusted Search Path 설계를 악용하여 권한을 상승시키는 Local Privilege Escalation(LPE) 취약점으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 이미 시스템에 유효한 사용자 계정으로 로그인하여 로컬 쉘 접근 권한을 확보한 상태여야만 트리거가 가능합니다. 특히 AC:L임에도 불구하고 실제 악용을 위해서는 타겟 경로에 악의적인 DLL을 배치해야 하는 파일 시스템 쓰기 권한 및 특정 실행 조건이 충족되어야 하므로 진입 장벽이 존재합니다. EPSS 수치가 0.00432로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 활발히 악용되는 사례가 드물며, 이론적 심각도에 비해 실제 공격 시나리오의 전파 가능성이 낮음을 시사합니다. 주요 공격 표면은 Windows Narrator Braille 관련 실행 파일이 라이브러리를 로드하는 경로(Search Path)이며, 특정 파라미터나 프로토콜보다는 윈도우의 DLL Search Order 취약점을 이용한 바이너리 하이재킹 형태의 트리거가 핵심입니다. 결과적으로 외부망을 통한 직접 침투는 불가능하며, 내부 침투 후 권한 상승을 노리는 포스트 익스플로잇(Post-Exploitation) 단계에서만 제한적으로 악용 가능합니다.

• 권한 상승: 일반 사용자 계정(PR:L)에서 최고 관리자 권한인 SYSTEM으로 즉시 상승 가능합니다.
• 시스템 완전 장악: 권한 상승 성공 시 커널 모드 접근, 보안 설정 무력화, 모든 파일 및 프로세스 제어권을 획득하여 엔드포인트의 완전한 통제권을 갖게 됩니다.

• DLL Hijacking: 전형적인 DLL 검색 순서 악용 패턴입니다.
• 공격 체인: 초기 침투(Initial Access)를 통해 로컬 쉘을 확보한 공격자가 권한 상승을 위해 최종 단계에서 본 취약점을 사용하는 시나리오가 유력합니다.

LPE 특성상 파일 생성, 이미지 로드, 비정상 프로세스 생성을 결합하여 탐지해야 합니다. 특히 동료 토론에서 지적된 SCM(Service Control Manager) 조작 및 드라이버 재로드 시도를 감시하는 것이 핵심입니다.

1. 주요 탐지 지표

• Sysmon Event ID 11 (FileCreate): 추정되는 취약 경로(사용자 쓰기 가능 디렉토리) 내에 .dll 파일 생성 행위.
• Sysmon Event ID 7 (Image Loaded): 추정: NarratorBraille.exe 프로세스가 C:\Windows\System32 또는 SysWOW64가 아닌 경로에서 DLL을 로드하는 경우.
• Windows Event ID 4688 / Sysmon ID 1: SYSTEM 권한으로 실행된 자식 프로세스 중 cmd.exe, powershell.exe 등 쉘 실행 여부.
• SCM 이벤트: Braille 관련 서비스의 비정상적인 중지/시작 반복 행위.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1: Untrusted DLL Load (Image Load Monitoring)
  SELECT * FROM ImageLoadEvents WHERE ProcessName == "NarratorBraille.exe" AND LoadedModulePath NOT REGEXP "^(C:\\Windows\\System32\\|C:\\Windows\\SysWOW64\\)"
• Rule 2: LPE Child Process (Privilege Escalation)
  SELECT * FROM ProcessCreateEvents WHERE ParentProcessName == "NarratorBraille.exe" AND User == "SYSTEM" AND Image IN ("cmd.exe", "powershell.exe", "net.exe")
• Rule 3: SCM Manipulation (Persistence/Trigger)
  SELECT * FROM SecurityEvents WHERE EventID == 4697 OR (EventID == 7045) AND ServiceName CONTAINS "Braille"

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 정식 접근성 소프트웨어 업데이트나 서드파티 점자 드라이버 설치 시 발생 가능합니다.
• 튜닝 방법: 로드되는 DLL의 디지털 서명(Digital Signature)을 확인하여 Microsoft 또는 신뢰할 수 있는 벤더의 서명이 없는 파일만 경보를 생성하도록 필터링하십시오.

다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 실측값(0.00432)이 매우 낮고 KEV 미등재 및 악용 난이도가 hard인 점을 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다.

1. 즉시 (긴급 차단)

• 조치: Braille 드라이버 및 관련 서비스 비활성화.
• 상세: 점자 출력기를 사용하지 않는 모든 엔드포인트에서 해당 기능을 비활성화하여 공격 표면을 완전히 제거합니다.
• 난이도/영향: 낮음 / 접근성 기능 사용자 외에는 영향 없음.
• 검증: Get-Service 또는 services.msc를 통해 서비스 상태가 Disabled인지 확인.

2. 단기 (완화)

• 조치: DLL 검색 경로 ACL 강화 및 SCM 모니터링 적용.
• 상세: 추정되는 취약 경로(User-writable directories)의 쓰기 권한을 제한하여 악성 DLL 배치를 차단하고, 서비스 재로드 시도를 실시간 감시합니다. 단순 비활성화 후 공격자가 서비스를 강제로 다시 로드할 가능성에 대비하는 조치입니다.
• 난이도/영향: 중간 / 일부 앱의 경로 쓰기 권한 충돌 가능성이 있으므로 사전 테스트 필요.
• 검증: 일반 사용자 계정으로 해당 경로에 파일 생성 시 Access Denied 발생 확인.

3. 근본 (해결)

• 조치: Microsoft 공식 보안 패치 적용.
• 상세: Untrusted search path가 수정된 최신 Windows 업데이트를 배포합니다.
• 난이도/영향: 낮음 / 재부팅으로 인한 일시적 가용성 저하 발생.
• 검증: OS 빌드 버전 및 설치된 KB 번호 확인.

잔여 리스크: 패치 후에도 다른 서비스의 유사한 DLL Hijacking 경로가 존재할 수 있으므로, SafeDllSearchMode 활성화 유지와 EDR 기반의 이미지 로드 감시 체계를 상시 운영해야 합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00432 · exploit=hard · in_scope=None