CVE 데이터베이스CVE-2015-2426

최종 갱신 2026-06-17English Advisory →

CVE-2015-24268.8/HIGHCISA KEV 등재CWE-119CWE-124

Microsoft Windows Adobe Type Manager 라이브러리(atmfd.dll) 버퍼 언더플로우 원격 코드 실행 취약점 (CVE-2015-2426)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2015-07-20

CVSS v3.1

8.8

HIGH

30일 악용확률

86.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows Vista SP2, 7 SP1, 8, 8.1, RT 및 Windows Server 2008/2012 전체 버전

파급 효과

공격자가 악의적으로 조작한 OpenType 글꼴(OTF)을 웹페이지, 문서, 이메일 등을 통해 로드하도록 유도할 경우, 커널 권한으로 원격 코드 실행(RCE)이 가능합니다

권장 조치

Microsoft 공식 보안 패치(MS15-078)를 즉시 적용하거나, 패치 적용 전까지 Adobe Type Manager Font Driver(atmfd.dll) 비활성화 조치를 수행해야 합니다

영향받는 제품 및 버전 범위

Windows Vista SP2, Windows Server 2008 SP2 & R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold & R2, Windows RT Gold & 8.1

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 권고문 MS15-078에 따라 시스템에 해당하는 누적 업데이트 또는 독립 실행형 패치를 설치하십시오.

powershell

# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-WindowsUpdate -KBArticleID KB3079904 -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 환경에서는 레지스트리를 수정하여 atmfd.dll 드라이버를 비활성화함으로써 취약점 노출을 차단할 수 있습니다.

powershell

# Adobe Type Manager Font Driver(atmfd.dll) 비활성화 레지스트리 설정
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows' -Name 'DisableATMFD' -Value 1 -PropertyType DWORD -Force

# 설정 적용을 위해 시스템 재부팅 필요
Restart-Computer -Force

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 atmfd.dll 파일의 버전을 확인하여 패치 적용 여부를 검증합니다.

powershell

# atmfd.dll 파일 버전 확인 스크립트
$sysPath = [System.IO.Path]::Combine($env:SystemRoot, 'System32\atmfd.dll')
if (Test-Path $sysPath) {
    $fileVersion = (Get-Item $sysPath).VersionInfo.FileVersion
    Write-Host 'Current atmfd.dll Version:' $fileVersion
    # MS15-078 패치 이후 버전인지 대조 필요
} else {
    Write-Host 'atmfd.dll not found or already disabled.'
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

실제 공격에 악용된 고위험 취약점이므로, MS15-078 패치를 즉시 적용하거나 레지스트리 수정을 통해 atmfd.dll을 비활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 커널 모드 드라이버인 Adobe Type Manager Font Driver(atmfd.dll)가 OpenType 글꼴(OTF) 파일을 파싱하는 과정에서 발생하는 버퍼 언더플로우(Buffer Underflow, CWE-124) 취약점입니다. 글꼴 파일 내부의 특정 테이블 크기나 오프셋 값을 검증하는 로직이 미흡하여, 할당된 메모리 버퍼의 시작 지점보다 이전의 주소 영역에 데이터를 쓰거나 참조할 때 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 제작된 OpenType 글꼴을 웹사이트에 내장하거나, 이메일 첨부 문서(Office 문서, PDF 등)에 포함하여 대상 사용자에게 전송합니다. 사용자가 해당 웹페이지를 방문하거나 문서를 열어 시스템이 글꼴을 렌더링하기 위해 atmfd.dll을 호출하는 순간 취약점이 트리거됩니다. 이 취약점은 Hacking Team 유출 데이터에서 실제 익스플로잇 코드가 발견되어 무기화가 입증되었으며, 커널 권한(SYSTEM)으로 임의 코드를 실행할 수 있는 매우 강력한 공격 벡터를 제공합니다.

3. 비즈니스 및 인프라 파급 영향

해당 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 활발히 악용된 이력이 있습니다. 공격자가 시스템의 최고 권한인 커널 권한을 획득할 수 있으므로, 엔드포인트 장악을 통한 내부망 침투, 기밀 데이터 탈취, 랜섬웨어 유포 등 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Buffer underflow in atmfd.dll in the Windows Adobe Type Manager Library in Microsoft Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allows remote attackers to execute arbitrary code via a crafted OpenType font, aka "OpenType Font Driver Vulnerability."

http://blog.trendmicro.com/trendlabs-security-intelligence/a-look-at-the-open-type-font-manager-vulnerability-from-the-hacking-team-leak/

출처: secure@microsoft.com · Exploit, Third Party Advisory

http://www.kb.cert.org/vuls/id/103336

출처: secure@microsoft.com · Third Party Advisory, US Government Resource

http://www.securityfocus.com/bid/75951

출처: secure@microsoft.com · Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1032991

출처: secure@microsoft.com · Third Party Advisory, VDB Entry

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-078

출처: secure@microsoft.com · Patch, Vendor Advisory

https://www.exploit-db.com/exploits/38222/

출처: secure@microsoft.com · Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2015-2426)

FAQ

Q1. CVE-2015-2426 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2015-2426의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 86.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2015-2426에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows Vista SP2, Windows Server 2008 SP2 & R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold & R2, Windows RT Gold & 8.1

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 패치(MS15-078)를 즉시 적용하거나, 패치 적용 전까지 Adobe Type Manager Font Driver(atmfd.dll) 비활성화 조치를 수행해야 합니다 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동