마이크로소프트 인터넷 익스플로러(IE) Use-After-Free 원격 코드 실행 취약점 (CVE-2010-0249, 오퍼레이션 아우로라)

1. 공식 보안 패치 적용

마이크로소프트에서 제공하는 누적 보안 업데이트를 적용하십시오. 본 취약점은 누적 업데이트 KB979352 또는 이후의 IE 누적 업데이트를 통해 해결되었습니다.

2. 임시 완화 조치 (패치 적용이 불가능한 레거시 환경)

• DEP (데이터 실행 방지) 강제 활성화:

시스템 수준에서 DEP를 항상 켜짐(AlwaysOn)으로 설정하여 메모리 상의 쉘코드 실행을 차단합니다.

  bcdedit /set {current} nx AlwaysOn

• 인터넷/로컬 인트라넷 보안 영역 설정 강화:

IE의 '인터넷' 및 '로컬 인트라넷' 영역의 보안 수준을 '높음'으로 설정하여 액티브 스크립팅(Active Scripting)을 비활성화합니다.

• EMET (Enhanced Mitigation Experience Toolkit) 도입:

레거시 Windows 환경의 경우, EMET을 설치하여 힙 스프레이(Heap Spraying) 및 메모리 손상 공격을 방어합니다.

본 취약점은 과거 APT 공격 그룹이 수행한 '오퍼레이션 아우로라(Operation Aurora)' 캠페인에서 제로데이(Zero-Day)로 악용되어 널리 알려진 매우 치명적인 취약점입니다.

취약점 원인 및 메커니즘 (CWE-416)

인터넷 익스플로러(IE)의 HTML 렌더링 엔진이 메모리 상의 HTML 객체(예: C++ DOM 객체)를 처리하는 과정에서 발생합니다.

• 객체 해제: 특정 이벤트나 스크립트 동작에 의해 메모리에 할당되어 있던 HTML 객체가 소멸(Free)됩니다.
• 포인터 미초기화: 객체가 해제되었음에도 불구하고, 해당 객체의 메모리 주소를 가리키는 포인터가 NULL로 초기화되지 않고 그대로 남게 됩니다.
• 메모리 재할당: 공격자는 자바스크립트(JavaScript) 등을 이용해 해제된 메모리 영역과 동일한 크기의 새로운 데이터를 힙(Heap) 영역에 재할당하여 제어권을 획득합니다.
• 재참조 및 실행 (Use-After-Free): 브라우저가 해제된 이전 객체의 포인터를 다시 참조하여 메서드를 호출할 때, 공격자가 주입한 악성 쉘코드(Shellcode)가 실행되어 원격 코드 실행(RCE)으로 이어집니다.