Windows CSRSS 프로세스 토큰 관리 취약점을 통한 로컬 권한 상승 및 보안 기능 우회 취약점 (CVE-2016-0151, MS16-048)

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 운영체제의 핵심 사용자 모드 서브시스템인 CSRSS(Client-Server Run-time Subsystem)가 프로세스 토큰(Process Token)을 처리하는 과정에서 발생하는 보안 기능 우회 및 권한 상승 취약점입니다. CSRSS는 프로세스 생성, 스레드 관리 및 임시 파일 처리 등 OS의 핵심 기능을 담당하며 높은 권한으로 실행됩니다. CSRSS 내부에서 클라이언트 프로세스의 보안 컨텍스트와 토큰을 검증하고 복제하는 로직에 결함이 존재하여, 권한이 낮은 로컬 프로세스가 자신에게 허용되지 않은 상위 권한의 토큰을 획득하거나 조작할 수 있는 상태가 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 대상 시스템에 일반 사용자 권한으로 로컬 접근 권한을 확보해야 합니다. 이후 CSRSS API(예: CsrCreateProcess 등)를 호출하는 특수하게 조작된 악성 애플리케이션을 실행합니다. 이 과정에서 공격자는 CSRSS가 프로세스 토큰을 잘못 관리하는 취약점을 악용하여, 시스템 권한(SYSTEM)을 가진 토큰을 탈취하거나 현재 프로세스의 보안 토큰을 위조합니다. 결과적으로 일반 사용자 권한으로 실행된 악성 코드가 CSRSS의 권한을 빌려 시스템 최고 권한으로 승격되어 임의의 시스템 명령을 실행할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 실제 악용 사례가 존재하는 고위험군 취약점입니다. 공격자가 내부망에 진입한 후 도메인 컨트롤러나 중요 서버의 로컬 권한을 장악하는 '횡적 이동(Lateral Movement)' 단계에서 핵심 징검다리로 악용될 수 있습니다. 시스템 권한이 탈취될 경우 백신 등 엔드포인트 보안 솔루션 무력화, 기밀 데이터 유출, 랜섬웨어 배포 등 인프라 전반에 걸쳐 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.