CVE 데이터베이스CVE-2013-5065

최종 갱신 2026-06-16English Advisory →

CVE-2013-50657.8/HIGHCISA KEV 등재

Microsoft Windows XP 및 Server 2003 NDProxy.sys 커널 로컬 권한 상승 취약점 (CVE-2013-5065)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows_xp, windows_server_2003

권고문 발행일

2013-11-28

CVSS v3.1

7.8

HIGH

30일 악용확률

34.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Windows XP SP2/SP3 및 Windows Server 2003 SP2 운영체제

파급 효과

로컬 공격자가 특수하게 제작된 애플리케이션을 실행하여 커널 권한(SYSTEM)을 획득하고 시스템을 완전히 장악할 수 있음

권장 조치

공식 보안 패치(MS14-002)를 적용하거나, NDProxy 서비스를 비활성화하는 임시 완화 조치를 수행해야 함

영향받는 제품 및 버전 범위

Microsoft Windows XP SP2 및 SP3, Windows Server 2003 SP2

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 업데이트 MS14-002 패치를 적용해야 합니다. 다만, 해당 OS는 현재 공식 지원이 종료(EoL)되었으므로 최신 지원 버전의 Windows OS로 마이그레이션하는 것이 강력히 권장됩니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 환경에서는 NDProxy 서비스를 레지스트리에서 비활성화하여 공격 표면을 제거할 수 있습니다. 아래 PowerShell 명령어를 관리자 권한으로 실행하십시오:

powershell

# NDProxy 서비스 시작 유형을 '사용 안 함'으로 변경
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\NDProxy' -Name 'Start' -Value 4

# 변경 사항 확인
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\NDProxy' -Name 'Start'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 NDProxy.sys 파일의 버전을 점검하여 취약한 상태인지 확인하는 스크립트입니다:

bash

# Windows 명령 프롬프트(CMD)에서 NDProxy.sys 파일 버전 확인
wmic datafile where "name='C:\\Windows\\System32\\drivers\\
dproxy.sys'" get Version, Manufacturer

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

지원 종료된 레거시 OS를 최신 보안 지원이 제공되는 운영체제로 즉시 업그레이드하고, 불가피한 경우 NDProxy 서비스를 비활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 커널 내의 전화 통화 및 네트워크 장치 제어를 담당하는 NDProxy.sys(NDIS Proxy) 드라이버에서 발생하는 입력 검증 미흡 취약점입니다. NDProxy.sys 드라이버가 사용자 영역(User-mode)에서 전달된 IOCTL(Input/Output Control) 요청을 처리하는 과정에서, 특정 포인터 및 입력 매개변수에 대한 유효성 검증을 누락하여 커널 메모리 영역에 대한 임의 쓰기 또는 실행 흐름 조작이 가능해집니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 시스템 내에서 일반 사용자 권한으로 악성 애플리케이션을 실행합니다. 이 애플리케이션은 \\.\NDProxy 디바이스에 대한 핸들을 확보한 후, 취약한 IOCTL 코드를 포함한 특수 구조의 데이터를 전송합니다. NDProxy.sys는 이 데이터를 검증 없이 처리하는 과정에서 커널 모드 내의 함수 포인터를 오염시키거나 널 포인터 역참조(Null Pointer Dereference) 등을 유발합니다. 이를 통해 공격자가 제어하는 쉘코드가 커널 권한(Ring 0)으로 실행되어, 최종적으로 현재 프로세스의 토큰을 SYSTEM 토큰으로 대체하는 권한 상승을 달성합니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 실제 야생(In-the-Wild)에서 제로데이 공격으로 적극 악용된 이력이 존재하며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있습니다. 공격자가 내부망에 진입한 후 이 취약점을 악용하면, 도메인 컨트롤러나 중요 서버(Windows Server 2003 기반)의 최고 권한을 탈취하여 랜섬웨어를 유포하거나 기밀 데이터를 유출하는 등 인프라 전체에 치명적인 피해를 입힐 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

NDProxy.sys in the kernel in Microsoft Windows XP SP2 and SP3 and Server 2003 SP2 allows local users to gain privileges via a crafted application, as exploited in the wild in November 2013.

http://technet.microsoft.com/security/advisory/2914486

출처: secure@microsoft.com · Patch, Vendor Advisory

http://www.fireeye.com/blog/technical/cyber-exploits/2013/11/ms-windows-local-privilege-escalation-zero-day-in-the-wild.html

출처: secure@microsoft.com · Broken Link, Not Applicable

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2014/ms14-002

출처: secure@microsoft.com · Patch, Vendor Advisory

https://www.exploit-db.com/exploits/37732/

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

http://technet.microsoft.com/security/advisory/2914486

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

http://www.fireeye.com/blog/technical/cyber-exploits/2013/11/ms-windows-local-privilege-escalation-zero-day-in-the-wild.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Not Applicable