Microsoft Office 및 VBA VBE6.dll 신뢰할 수 없는 검색 경로 취약점 (CVE-2012-1854) 분석 및 대응 가이드

1. 공식 보안 패치 적용

Microsoft 공식 보안 권고인 MS12-046을 참조하여 시스템에 해당하는 최신 누적 보안 업데이트를 적용하십시오.

2. 임시 완화 조치 (레지스트리 수정)

시스템 전체에서 현재 작업 디렉터리(CWD)로부터 DLL을 로드하는 동작을 차단하기 위해 CWDIllegalInDllSearch 레지스트리 값을 설정합니다.

# 명령 프롬프트(관리자 권한)에서 실행
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v CWDIllegalInDllSearch /t REG_DWORD /d 1 /f

*참고: 값 1은 WebDAV 및 네트워크 공유 폴더로부터의 DLL 로딩을 차단합니다.*

3. 방어 전략

• 신뢰할 수 없는 출처나 이메일 첨부파일을 통해 다운로드한 압축 파일 내의 Office 문서를 실행할 때, 동일 디렉터리에 의심스러운 DLL 파일이 존재하는지 확인하십시오.
• 엔드포인트 탐지 및 대응(EDR) 솔루션을 통해 Office 프로세스(winword.exe, excel.exe 등)가 비정상적인 경로에서 DLL을 로드하는 행위를 모니터링하십시오.

본 취약점(CVE-2012-1854)은 Microsoft Visual Basic for Applications(VBA)의 핵심 라이브러리인 VBE6.dll에서 발생하는 신뢰할 수 없는 검색 경로 취약점(CWE-426, DLL 하이재킹)입니다.

애플리케이션이 필요한 동적 링크 라이브러리(DLL)를 로드할 때, 절대 경로를 지정하지 않고 상대 경로 또는 현재 작업 디렉터리(CWD)를 우선 탐색하는 설계 결함으로 인해 발생합니다. 공격자는 피해자가 악성 DLL(트로이 목마)과 정상적인 Office 문서(예: .docx)가 함께 저장된 네트워크 공유 폴더 또는 로컬 디렉터리에서 문서를 열도록 유도합니다. 이 경우, VBA 엔진이 초기화되면서 동일한 디렉터리에 존재하는 악성 DLL을 정상 라이브러리로 오인하여 메모리에 로드하고 실행하게 됩니다.

이 취약점은 실제 야생(In-the-wild)에서 악용된 이력이 존재하며(CISA KEV 등재), EPSS 점수가 0.94(94%)에 달할 정도로 공격 성공률과 위험도가 매우 높습니다.