CVE 데이터베이스CVE-2011-2005

최종 갱신 2026-06-16English Advisory →

CVE-2011-20057.8/HIGHCISA KEV 등재

Microsoft Windows Ancillary Function Driver (afd.sys) 로컬 권한 상승 취약점 (CVE-2011-2005, MS11-080)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2011-10-12

CVSS v3.1

7.8

HIGH

30일 악용확률

31.8%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Windows XP SP2/SP3 및 Windows Server 2003 SP2 운영체제.

파급 효과

로컬 공격자가 특수하게 제작된 애플리케이션을 실행하여 커널 모드에서 임의 코드를 실행하고 시스템 권한(SYSTEM)을 획득할 수 있습니다.

권장 조치

Microsoft 공식 보안 패치(MS11-080)를 적용하거나, 지원이 종료된 레거시 시스템의 경우 네트워크 격리 및 실행 권한 제한 조치를 수행해야 합니다.

영향받는 제품 및 버전 범위

Microsoft Windows XP Service Pack 2 및 Service Pack 3, Windows Server 2003 Service Pack 2

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

해당 취약점은 Microsoft 공식 보안 업데이트 MS11-080을 통해 해결되었습니다. 레거시 시스템의 경우 아래 명령어를 사용하여 설치된 핫픽스 목록을 확인하고 누락된 패치를 적용하십시오.

powershell

# MS11-080 패치(KB2566454 등) 설치 여부 확인
Get-HotFix -Id KB2566454

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

운영 환경상 즉각적인 패치 적용이 불가능한 경우, 신뢰할 수 없는 사용자의 로컬 로그인을 차단하고 비인가 애플리케이션의 실행을 제한해야 합니다. 소프트웨어 제한 정책(SRP) 또는 AppLocker를 사용하여 임의 바이너리 실행을 방지하십시오.

powershell

# 로컬 그룹 정책을 통한 비인가 실행 파일 실행 제한 설정 예시 (PowerShell)
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{afd-prevent}' -Force
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{afd-prevent}' -Name 'SaferFlags' -Value 0

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 afd.sys 파일의 버전을 점검하여 취약한 상태인지 확인합니다.

powershell

# afd.sys 파일 버전 확인 스크립트
$sysPath = '[Environment]::SystemDirectory\drivers\afd.sys'
(Get-Item $sysPath).VersionInfo | Select-Object FileVersion, ProductVersion

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

Windows XP 및 Server 2003 레거시 시스템은 최신 지원 운영체제로 신속히 전환하고, 전환 전까지 MS11-080 패치 적용 및 로컬 사용자 권한을 최소화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 소켓 연결을 관리하는 보조 기능 드라이버인 afd.sys에서 발생합니다. afd.sys가 사용자 모드(User-mode)에서 커널 모드(Kernel-mode)로 전달되는 입력 버퍼 및 포인터를 적절히 검증하지 않아 발생하며, 이로 인해 커널 메모리 영역에 대한 비정상적인 쓰기 또는 덮어쓰기가 가능해집니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

로컬 권한을 가진 공격자는 DeviceIoControl API를 호출하여 afd.sys 장치 드라이버(\\Device\\Afd)와 직접 통신을 시도합니다. 이때 특정 IOCTL(Input/Output Control) 코드와 함께 조작된 입력 버퍼 구조체를 전달합니다. 드라이버 내부에서 사용자 모드 주소 공간에 대한 유효성 검증(ProbeForRead/ProbeForWrite 등)이 누락되어 있어, 공격자는 커널 구조체(예: 프로세스 토큰 포인터)를 덮어써 자신의 프로세스 권한을 NT AUTHORITY\SYSTEM으로 상승시킵니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 실제 악용 사례가 존재하는 고위험 취약점입니다. 공격자가 시스템 내에 일반 사용자 권한으로 침투한 후, 본 취약점을 악용하여 완전한 관리자 권한을 획득할 수 있습니다. 이를 통해 보안 솔루션 무력화, 백도어 설치, 기밀 데이터 탈취 및 내부 네트워크 횡적 이동(Lateral Movement)으로 이어질 수 있어 비즈니스 연속성에 치명적인 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

afd.sys in the Ancillary Function Driver in Microsoft Windows XP SP2 and SP3 and Server 2003 SP2 does not properly validate user-mode input passed to kernel mode, which allows local users to gain privileges via a crafted application, aka "Ancillary Function Driver Elevation of Privilege Vulnerability."

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-080

출처: secure@microsoft.com · Patch, Vendor Advisory

https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A13114

출처: secure@microsoft.com · Broken Link

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-080

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A13114

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2011-2005

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2011-2005)

FAQ

Q1. CVE-2011-2005 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2011-2005의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 31.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2011-2005에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Microsoft Windows XP Service Pack 2 및 Service Pack 3, Windows Server 2003 Service Pack 2

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 패치(MS11-080)를 적용하거나, 지원이 종료된 레거시 시스템의 경우 네트워크 격리 및 실행 권한 제한 조치를 수행해야 합니다. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동