CVE 데이터베이스CVE-2013-3893

최종 갱신 2026-06-16English Advisory →

CVE-2013-38938.8/HIGHCISA KEV 등재CWE-416CWE-416

마이크로소프트 인터넷 익스플로러(Internet Explorer) SetMouseCapture Use-After-Free 원격 코드 실행 취약점 (CVE-2013-3893)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

internet explorer

권고문 발행일

2013-09-18

CVSS v3.1

8.8

HIGH

30일 악용확률

87.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

마이크로소프트 인터넷 익스플로러(Internet Explorer) 6, 7, 8, 9, 10, 11 버전

파급 효과

공격자가 조작된 자바스크립트 및 ms-help 프로토콜을 통해 대상 시스템에서 현재 사용자의 권한으로 임의의 원격 코드를 실행할 수 있습니다

권장 조치

MS13-080 누적 보안 업데이트를 적용하거나, 임시 완화 조치로 Fix it 솔루션 적용 및 hxds.dll 로드 차단을 수행해야 합니다

영향받는 제품 및 버전 범위

Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 버전 (mshtml.dll 라이브러리 사용 환경)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 마이크로소프트에서 배포한 MS13-080 누적 보안 업데이트를 적용하는 것입니다. 레거시 시스템의 경우 아래 Windows Update 명령어를 통해 패치를 강제 적용할 수 있습니다.

powershell

# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-WindowsUpdate -KBArticleID KB2879017 -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 환경에서는 취약한 hxds.dll 라이브러리가 인터넷 익스플로러 내에서 로드되지 않도록 소프트웨어 제한 정책(SRP) 또는 레지스트리 수정을 통해 차단해야 합니다.

cmd

:: hxds.dll 로드를 방지하기 위한 레지스트리 킬비트(Kill-Bit) 설정
reg add 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{811977e3-b8be-11d2-961b-00c04f8ee257}' /v 'Compatibility Flags' /t REG_DWORD /d 1024 /f
reg add 'HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{811977e3-b8be-11d2-961b-00c04f8ee257}' /v 'Compatibility Flags' /t REG_DWORD /d 1024 /f

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 mshtml.dll 버전을 검사하여 취약한 상태인지 확인하고, 이벤트 로그에서 ms-help: 프로토콜 호출 흔적을 탐지하는 스크립트입니다.

powershell

# mshtml.dll 파일 버전 확인 스크립트
$file = 'C:\Windows\System32\mshtml.dll'
if (Test-Path $file) {
    $versionInfo = (Get-Item $file).VersionInfo
    Write-Host 'Current mshtml.dll Version:' $versionInfo.FileVersion
    # 시스템 버전별 MS13-080 패치 적용 여부 대조 필요
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

인터넷 익스플로러 사용을 즉각 중단하고 최신 모던 브라우저로 전환하거나, 레거시 시스템의 경우 MS13-080 누적 보안 패치를 즉시 적용하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 마이크로소프트 인터넷 익스플로러(Internet Explorer)의 렌더링 엔진인 mshtml.dll 내 SetMouseCapture 메서드 구현부에서 발생하는 Use-After-Free(UAF) 취약점입니다. 특정 HTML 요소가 마우스 캡처 이벤트를 트리거한 후, 해당 객체가 메모리에서 해제되었음에도 불구하고 참조 포인터가 적절히 초기화되지 않아 발생합니다. 이 상태에서 해제된 메모리 영역에 다시 접근을 시도할 때 메모리 오염 및 제어 흐름 탈취가 가능해집니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 피해자가 악성 자바스크립트가 포함된 웹페이지를 방문하도록 유도합니다. 자바스크립트는 SetMouseCapture를 호출하여 특정 객체를 캡처한 뒤, DOM 조작을 통해 해당 객체를 강제로 해제(Free)합니다. 이후 공격자는 ms-help: 프로토콜 URL을 호출하여 hxds.dll (Help Data Services) 라이브러리를 메모리에 강제로 로드 시킵니다. 이 과정에서 해제된 메모리 공간을 공격자가 제어하는 셸코드(Shellcode) 데이터로 덮어쓰는 힙 스프레이(Heap Spraying) 기법을 결합하여, 최종적으로 브라우저 프로세스 권한으로 임의의 명령을 실행하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재된 만큼 실제 표적 공격(Targeted Attacks)에 적극적으로 악용된 이력이 있습니다. 공격 성공 시, 공격자는 현재 로그인된 사용자의 권한을 완전히 획득할 수 있습니다. 만약 사용자가 관리자(Administrator) 권한으로 로그인되어 있다면, 시스템 전체 장악, 악성코드 추가 설치, 내부 네트워크 침투 및 기밀 데이터 유출 등 기업 인프라에 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Use-after-free vulnerability in the SetMouseCapture implementation in mshtml.dll in Microsoft Internet Explorer 6 through 11 allows remote attackers to execute arbitrary code via crafted JavaScript strings, as demonstrated by use of an ms-help: URL that triggers loading of hxds.dll.

http://blogs.technet.com/b/srd/archive/2013/09/17/cve-2013-3893-fix-it-workaround-available.aspx

출처: secure@microsoft.com · Exploit

http://blogs.technet.com/b/srd/archive/2013/10/08/ms13-080-addresses-two-vulnerabilities-under-limited-targeted-attacks.aspx

출처: secure@microsoft.com · Vendor Advisory

http://jvn.jp/en/jp/JVN27443259/index.html

출처: secure@microsoft.com · Third Party Advisory

http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-000093.html

출처: secure@microsoft.com · Third Party Advisory

http://packetstormsecurity.com/files/162585/Microsoft-Internet-Explorer-8-SetMouseCapture-Use-After-Free.html

출처: secure@microsoft.com · Exploit

http://pastebin.com/raw.php?i=Hx1L5gu6

출처: secure@microsoft.com · Exploit

자주 묻는 실무 질문 (FAQ — CVE-2013-3893)

FAQ

Q1. CVE-2013-3893 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2013-3893의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 87.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2013-3893에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 internet explorer입니다. 상세 영향 범위: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 버전 (mshtml.dll 라이브러리 사용 환경)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] MS13-080 누적 보안 업데이트를 적용하거나, 임시 완화 조치로 Fix it 솔루션 적용 및 hxds.dll 로드 차단을 수행해야 합니다 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동