CVE 데이터베이스CVE-2010-0232

최종 갱신 2026-06-16English Advisory →

CVE-2010-02327.8/HIGHCISA KEV 등재

Microsoft Windows 커널 NTVDM 예외 처리 취약점 (CVE-2010-0232, KiTrap0D) 로컬 권한 상승 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2010-01-21

CVSS v3.1

7.8

HIGH

30일 악용확률

28.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

32비트(x86) 플랫폼에서 16비트 애플리케이션 실행(NTVDM)이 활성화된 Windows NT 3.1부터 Windows 7 및 Windows Server 2008 이하 시스템.

파급 효과

로컬 공격자가 특수하게 조작된 VDM_TIB 데이터 구조를 생성하고 NtVdmControl 함수를 호출하여 커널 권한(SYSTEM)을 획득하고 시스템을 완전히 장악할 수 있습니다.

권장 조치

Microsoft 공식 보안 패치(MS10-015)를 적용하거나, 레지스트리 및 그룹 정책을 통해 16비트 애플리케이션 실행(NTVDM) 기능을 비활성화하십시오.

영향받는 제품 및 버전 범위

32비트(x86) 아키텍처 기반의 Windows NT 3.1, 2000, XP, Server 2003, Vista, Server 2008, Windows 7 (16비트 애플리케이션 실행 환경이 활성화된 경우)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 배포한 MS10-015 보안 업데이트를 적용해야 합니다. 최신 Windows 환경에서는 기본적으로 16비트 서브시스템이 비활성화되어 있거나 지원되지 않으나, 레거시 시스템의 경우 아래 명령을 통해 업데이트 상태를 확인하고 패치를 적용하십시오.

powershell

# 설치된 핫픽스 중 MS10-015 관련 패치(KB977165)가 존재하는지 확인
Get-HotFix -Id KB977165

# 패치가 없는 경우, Windows Update 서비스를 시작하여 최신 패치 적용
Start-Service -Name wuauserv
Install-WindowsUpdate -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 레거시 시스템의 경우, 그룹 정책 또는 레지스트리 수정을 통해 16비트 애플리케이션 실행(NTVDM)을 원천 차단하여 취약점 노출을 방지할 수 있습니다.

cmd

:: 레지스트리를 수정하여 16비트 애플리케이션 실행(NTVDM)을 전역적으로 비활성화
reg add 'HKLM\Software\Policies\Microsoft\Windows\AppCompat' /v Prevent16BitApp /t REG_DWORD /d 1 /f

:: 변경 사항을 시스템에 즉시 반영하기 위해 그룹 정책 강제 업데이트
gpupdate /force

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에서 NTVDM 프로세스(ntvdm.exe)가 비정상적으로 실행되었거나, 일반 사용자 권한에서 해당 프로세스가 호출된 이력이 있는지 이벤트 로그를 점검합니다.

powershell

# 이벤트 로그에서 ntvdm.exe 실행 관련 프로세스 생성 이벤트(ID 4688) 검색
Get-WinEvent -FilterHashtable @{
    LogName='Security';
    Id=4688
} -ErrorAction SilentlyContinue | Where-Object {
    $_.Message -like '*ntvdm.exe*'
} | Select-Object TimeCreated, Id, Message | Format-List

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

레거시 32비트 Windows 시스템을 운영 중인 경우, 즉시 MS10-015 패치를 적용하거나 레지스트리를 통해 NTVDM(16비트 지원) 기능을 비활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(일명 'KiTrap0D')은 32비트 x86 아키텍처 Windows 운영체제에서 16비트 MS-DOS 및 Windows 애플리케이션을 지원하는 NTVDM(Windows Virtual DOS Machine) 하위 시스템의 설계 결함으로 인해 발생합니다. Windows 커널은 16비트 가상화 환경을 초기화할 때 특정 BIOS 호출을 적절히 검증하지 못합니다. 로컬 공격자는 스레드 환경 블록(TEB, Thread Environment Block) 내에 가상 DOS 머신 스레드 정보 블록(VDM_TIB) 구조체를 임의로 조작하여 배치한 후, 시스템 호출을 유도함으로써 커널 예외 처리기(nt!KiTrap0D)의 취약한 경로를 트리거할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 일반 사용자 권한(Low Privilege)으로 실행되는 프로세스에서 다음과 같은 단계를 거쳐 익스플로잇을 수행합니다:

현재 스레드의 TEB(Thread Environment Block) 내에 조작된 VDM_TIB 구조체를 구성합니다.
NtVdmControl 미공개 시스템 호출을 수행하여 NTVDM 하위 시스템을 강제로 시작하고 커널이 해당 구조체를 참조하도록 유도합니다.
이 과정에서 일반 보호 오류(#GP, General Protection Fault)가 발생하며 커널의 #GP 트랩 핸들러인 nt!KiTrap0D가 호출됩니다.
커널은 조작된 VDM_TIB 구조체 내부의 포인터를 신뢰하여 예외를 처리하려 시도하므로, 공격자가 제어하는 임의의 주소로 실행 흐름이 분기되어 최종적으로 커널 모드(Ring 0) 권한으로 셸코드가 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 로컬 권한 상승(LPE) 취약점으로, 공격자가 시스템에 대한 초기 침투(예: 피싱, 웹 취약점 등)를 성공한 후 인프라 내부에서 권한을 장악하는 데 악용됩니다. CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 널리 활용되었으며, 공격자가 일반 사용자 계정에서 최고 권한인 NT AUTHORITY\SYSTEM 권한을 획득할 경우 백도어 설치, 보안 솔루션 무력화, Active Directory 자격 증명 탈취 등 인프라 전체로의 횡적 이동(Lateral Movement)을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The kernel in Microsoft Windows NT 3.1 through Windows 7, including Windows 2000 SP4, Windows XP SP2 and SP3, Windows Server 2003 SP2, Windows Vista Gold, SP1, and SP2, and Windows Server 2008 Gold and SP2, when access to 16-bit applications is enabled on a 32-bit x86 platform, does not properly validate certain BIOS calls, which allows local users to gain privileges by crafting a VDM_TIB data structure in the Thread Environment Block (TEB), and then calling the NtVdmControl function to start the Windows Virtual DOS Machine (aka NTVDM) subsystem, leading to improperly handled exceptions involving the #GP trap handler (nt!KiTrap0D), aka "Windows Kernel Exception Handler Vulnerability."

http://blogs.technet.com/msrc/archive/2010/01/20/security-advisory-979682-released.aspx

출처: secure@microsoft.com · Broken Link

http://lists.immunitysec.com/pipermail/dailydave/2010-January/006000.html

출처: secure@microsoft.com · Broken Link

http://lock.cmpxchg8b.com/c0af0967d904cef2ad4db766a00bc6af/KiTrap0D.zip

출처: secure@microsoft.com · Broken Link, Exploit

http://seclists.org/fulldisclosure/2010/Jan/341

출처: secure@microsoft.com · Exploit, Mailing List, Third Party Advisory

http://secunia.com/advisories/38265

출처: secure@microsoft.com · Broken Link, Vendor Advisory

http://securitytracker.com/id?1023471

출처: secure@microsoft.com · Broken Link, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2010-0232)

FAQ

Q1. CVE-2010-0232 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2010-0232의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 28.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2010-0232에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: 32비트(x86) 아키텍처 기반의 Windows NT 3.1, 2000, XP, Server 2003, Vista, Server 2008, Windows 7 (16비트 애플리케이션 실행 환경이 활성화된 경우)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 패치(MS10-015)를 적용하거나, 레지스트리 및 그룹 정책을 통해 16비트 애플리케이션 실행(NTVDM) 기능을 비활성화하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동