CVE 데이터베이스CVE-2015-2291

최종 갱신 2026-10-01English Advisory →

CVE-2015-22917.8/HIGHCISA KEV 등재CWE-20CWE-20

Intel Ethernet 진단 드라이버(IQVW32.sys/IQVW64.sys) IOCTL 입력 검증 미흡으로 인한 커널 권한 상승 및 원격 코드 실행 취약점 (CVE-2015-2291)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

intel

대상 컴포넌트 / 패키지

ethernet diagnostics driver

권고문 발행일

2017-08-09

CVSS v3.1

7.8

HIGH

30일 악용확률

15.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 환경에서 동작하는 1.3.1.0 미만 버전의 Intel Ethernet 진단 드라이버(IQVW32.sys, IQVW64.sys)

파급 효과

로컬 공격자가 조작된 IOCTL 호출을 통해 커널 권한(SYSTEM)으로 임의 코드를 실행하거나 시스템 블루스크린(DoS)을 유발할 수 있습니다

권장 조치

영향받는 드라이버를 1.3.1.0 이상 버전으로 업데이트하고, 취약한 드라이버의 로드를 차단하는 드라이버 차단 규칙(HVCI/WDAC)을 적용하십시오

영향받는 제품 및 버전 범위

Intel Ethernet Diagnostics Driver for Windows (IQVW32.sys 및 IQVW64.sys) 1.3.1.0 미만 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Intel 공식 권고에 따라 네트워크 어댑터 드라이버를 최신 버전(1.3.1.0 이상)으로 업데이트해야 합니다. PowerShell을 사용하여 현재 설치된 Intel 네트워크 드라이버 버전을 확인하고 업데이트를 적용하십시오.

powershell

# 현재 로드된 Intel 진단 드라이버 정보 및 버전 확인
Get-WmiObject Win32_PnPSignedDriver | Where-Object { $_.DeviceName -like '*Intel*Ethernet*' } | Select-Object DeviceName, DriverVersion

# 취약한 드라이버 파일(IQVW64.sys / IQVW32.sys) 버전 확인
(Get-Item $env:SystemRoot\System32\drivers\iqvw64.sys).VersionInfo.FileVersion

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Windows Defender 응용 프로그램 제어(WDAC) 또는 드라이버 차단 규칙을 사용하여 취약한 드라이버가 시스템에 로드되는 것을 원천 차단해야 합니다. 아래 PowerShell 명령어로 Microsoft의 권장 드라이버 차단 목록을 활성화하십시오.

powershell

# Windows Defender 취약한 드라이버 차단 목록(Vulnerable Driver Blocklist) 활성화
Set-MpPreference -DisableCpuToQueueTransform $true
Reg add 'HKLM\SYSTEM\CurrentControlSet\Control\CI\Config' /v 'VulnerableDriverBlocklistEnable' /t REG_DWORD /d 1 /f

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에 취약한 드라이버가 존재하거나 로드된 이력이 있는지 이벤트 로그를 검사하는 스크립트입니다.

powershell

# 시스템 이벤트 로그에서 드라이버 로드 관련 경고/에러 및 IQVW 관련 로그 검색
Get-WinEvent -FilterHashtable @{
    LogName='System';
    ProviderName='Service Control Manager';
} | Where-Object { $_.Message -like '*iqvw*' } | Select-Object TimeCreated, Id, Message | Format-Table -AutoSize

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

BYOVD 공격을 방어하기 위해 즉시 Intel 드라이버를 1.3.1.0 이상으로 업데이트하고 Windows 취약 드라이버 차단 목록을 활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2015-2291)은 Windows용 Intel Ethernet 진단 드라이버인 IQVW32.sys 및 IQVW64.sys에서 발생하는 입력 검증 미흡(CWE-20) 취약점입니다. 드라이버가 사용자 영역(User-mode)으로부터 전달받는 IOCTL(Input/Output Control) 요청을 처리하는 과정에서, 특정 버퍼 포인터 및 입력 매개변수에 대한 적절한 검증을 수행하지 않아 발생합니다. 이로 인해 로컬 권한을 가진 공격자가 커널 메모리 영역에 직접 접근할 수 있는 통로가 열리게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 로컬 시스템에서 \\.\Nal과 같은 드라이버 심볼릭 링크를 오픈한 뒤, DeviceIoControl API를 사용하여 특정 IOCTL 코드(0x80862013, 0x8086200B, 0x8086200F, 0x80862007)를 전송합니다. 드라이버 내부의 취약한 핸들러는 전달받은 주소 값을 검증 없이 역참조(Dereference)하거나 쓰기 작업을 수행합니다. 이를 통해 공격자는 커널 메모리의 임의 주소에 원하는 값을 쓰는 'Arbitrary Write'를 수행할 수 있으며, 최종적으로 커널 권한(Ring 0)으로 셸코드를 실행하거나 시스템을 크래시(BSOD)시켜 서비스 거부 상태로 만듭니다. 이 취약점은 정상 서명된 드라이버를 악용하여 보안 솔루션을 우회하는 BYOVD(Bring Your Own Vulnerable Driver) 공격 기법에 자주 악용됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 위협 그룹들이 엔드포인트 침투 및 권한 상승 단계에서 적극적으로 악용하는 고위험 취약점입니다. 공격자가 로컬 사용자 권한(일반 사용자 권한 포함)을 확보한 상태에서 이 취약점을 악용하면, Windows 운영체제의 최고 권한인 SYSTEM 권한을 획득하게 됩니다. 이는 엔드포인트 보안 솔루션(EDR/AV)의 프로세스를 강제 종료하거나, 커널 레벨의 루트킷을 설치하여 영구적인 백도어를 확보하는 등 인프라 전반에 걸쳐 심각한 보안 통제 무력화를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

(1) IQVW32.sys before 1.3.1.0 and (2) IQVW64.sys before 1.3.1.0 in the Intel Ethernet diagnostics driver for Windows allows local users to cause a denial of service or possibly execute arbitrary code with kernel privileges via a crafted (a) 0x80862013, (b) 0x8086200B, (c) 0x8086200F, or (d) 0x80862007 IOCTL call.

http://packetstormsecurity.com/files/130854/Intel-Network-Adapter-Diagnostic-Driver-IOCTL-DoS.html

출처: cve@mitre.org · Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/79623

출처: cve@mitre.org · Broken Link, Third Party Advisory, VDB Entry

https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00051&languageid=en-fr

출처: cve@mitre.org · Patch, Vendor Advisory

https://www.exploit-db.com/exploits/36392/

출처: cve@mitre.org · Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/130854/Intel-Network-Adapter-Diagnostic-Driver-IOCTL-DoS.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/79623

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2015-2291)

FAQ

Q1. CVE-2015-2291 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2015-2291의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 15.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2015-2291에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 intel이며, 대상 컴포넌트는 ethernet diagnostics driver입니다. 상세 영향 범위: Intel Ethernet Diagnostics Driver for Windows (IQVW32.sys 및 IQVW64.sys) 1.3.1.0 미만 모든 버전

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 영향받는 드라이버를 1.3.1.0 이상 버전으로 업데이트하고, 취약한 드라이버의 로드를 차단하는 드라이버 차단 규칙(HVCI/WDAC)을 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동