CVE 데이터베이스CVE-2014-4114

최종 갱신 2026-06-17English Advisory →

CVE-2014-41147.8/HIGHCISA KEV 등재

Microsoft Windows OLE 원격 코드 실행 취약점 (CVE-2014-4114, Sandworm APT)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2014-10-15

CVSS v3.1

7.8

HIGH

30일 악용확률

81.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows Vista SP2, 7 SP1, 8, 8.1, Windows Server 2008/2012 및 RT 시스템

파급 효과

악성 OLE 객체가 포함된 Office 문서를 열람할 경우, 사용자 권한으로 원격 코드 실행(RCE)이 가능합니다

권장 조치

MS14-060 공식 보안 패치를 적용하고, 신뢰할 수 없는 출처의 Office 첨부파일 실행을 금지하십시오

영향받는 제품 및 버전 범위

Windows Vista SP2, Windows Server 2008 SP2/R2 SP1, Windows 7 SP1, Windows 8/8.1, Windows Server 2012 Gold/R2, Windows RT Gold/8.1

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 Microsoft 공식 보안 업데이트(MS14-060)를 적용하는 것입니다. 아래 PowerShell 명령어를 사용하여 누락된 보안 패치를 확인하고 설치하십시오.

powershell

# MS14-060 관련 패치(KB3000869 등) 설치 여부 확인
Get-HotFix -Id KB3000869

# Windows Update 모듈을 통한 누락된 보안 패치 강제 업데이트
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB3000869 -Install -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 레거시 환경에서는 WebDAV 및 외부 SMB 아웃바운드 연결을 차단하여 원격 페이로드 다운로드 경로를 원천 차단해야 합니다.

bash

# 방화벽을 통한 외부 SMB(TCP 445) 및 WebDAV(TCP 80, 443) 아웃바운드 트래픽 차단
netsh advfirewall firewall add rule name='Block_Outbound_SMB' dir=out action=block protocol=TCP localport=any remoteport=445
netsh advfirewall firewall add rule name='Block_Outbound_WebDAV_80' dir=out action=block protocol=TCP localport=any remoteport=80

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 임시 디렉토리에 의심스러운 INF 파일이나 원격지에서 다운로드된 실행 파일 흔적이 있는지 점검합니다.

powershell

# 사용자 Temp 디렉토리 내 최근 생성된 .inf 및 .gif(실제로는 PE 파일) 검사
Get-ChildItem -Path $env:TEMP -Recurse -Include *.inf, *.gif | 
    Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } | 
    Select-Object FullName, Length, LastWriteTime

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

즉시 MS14-060(KB3000869) 보안 패치를 적용하고, 외부 SMB/WebDAV 아웃바운드 포트를 방화벽에서 차단하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2014-4114)은 Microsoft Windows의 OLE(Object Linking and Embedding) 패키징 메커니즘 내 packager.dll에서 발생하는 논리적 결함입니다. Windows OLE는 문서 내에 다른 형식의 파일이나 객체를 임베딩할 수 있도록 지원하는데, 공격자가 조작된 OLE 객체를 포함한 Office 문서(예: PowerPoint PPSX)를 로드할 때 시스템이 외부 원격 공유 폴더(WebDAV/SMB)의 실행 파일(.inf, .exe)을 검증 없이 로컬 임시 디렉토리에 다운로드하고 실행할 수 있는 취약점입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

실제 위협 그룹(Sandworm)이 수행한 공격 시나리오는 다음과 같습니다:

공격자는 악성 OLE 객체 2개가 포함된 PowerPoint 슬라이드 쇼(.ppsx) 파일을 제작합니다.
첫 번째 OLE 객체는 원격 SMB/WebDAV 서버에서 악성 페이로드(예: slide1.gif로 위장한 실행 파일)를 다운로드하도록 유도합니다.
두 번째 OLE 객체는 다운로드된 페이로드를 실행하기 위해 Windows의 기본 설치 정보 파일(.inf) 메커니즘을 악용하여 INF 설치 프로그램을 트리거합니다.
사용자가 이 문서를 열어보는 순간, 백그라운드에서 사용자 개입 없이 원격 서버의 악성 코드가 로컬 시스템에 다운로드 및 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 7.8(High) 및 EPSS 0.8163의 매우 높은 위험도를 기록하고 있으며, CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 APT 공격에 적극적으로 악용된 이력이 확인되었습니다. 공격 성공 시 공격자는 피해자의 시스템 권한을 완전히 획득하여 내부망 침투, 기밀 데이터 탈취, 랜섬웨어 유포 등 비즈니스 연속성에 치명적인 손실을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Microsoft Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allow remote attackers to execute arbitrary code via a crafted OLE object in an Office document, as exploited in the wild with a "Sandworm" attack in June through October 2014, aka "Windows OLE Remote Code Execution Vulnerability."

http://blog.trendmicro.com/trendlabs-security-intelligence/an-analysis-of-windows-zero-day-vulnerability-cve-2014-4114-aka-sandworm/

출처: secure@microsoft.com · Exploit

http://blogs.technet.com/b/srd/archive/2014/10/14/accessing-risk-for-the-october-2014-security-updates.aspx

출처: secure@microsoft.com · Broken Link, Vendor Advisory

http://osvdb.org/show/osvdb/113140

출처: secure@microsoft.com · Broken Link

http://secunia.com/advisories/60972

출처: secure@microsoft.com · Broken Link

http://www.exploit-db.com/exploits/35019

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

http://www.exploit-db.com/exploits/35020

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2014-4114)

FAQ

Q1. CVE-2014-4114 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2014-4114의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 81.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2014-4114에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows Vista SP2, Windows Server 2008 SP2/R2 SP1, Windows 7 SP1, Windows 8/8.1, Windows Server 2012 Gold/R2, Windows RT Gold/8.1