CVE 데이터베이스CVE-2017-0213

최종 갱신 2026-06-17English Advisory →

CVE-2017-02137.3/HIGHCISA KEV 등재

Microsoft Windows COM Aggregate Marshaler 권한 상승 취약점 (CVE-2017-0213)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2017-05-12

CVSS v3.1

7.3

HIGH

30일 악용확률

84.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 7, 8.1, 10 및 Windows Server 2008, 2012, 2016 등 다수의 레거시 Windows 운영체제 환경

파급 효과

로컬 공격자가 특수하게 제작된 애플리케이션을 실행하여 관리자 권한(SYSTEM)을 획득하고 시스템을 완전히 장악할 수 있습니다

권장 조치

Microsoft 공식 보안 패치를 적용하고, 불필요한 DCOM/COM 활성화 설정을 제한하십시오

영향받는 제품 및 버전 범위

Windows Server 2008 SP2/R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012/R2, Windows RT 8.1, Windows 10 (Gold, 1511, 1607, 1703), Windows Server 2016

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 업데이트를 다운로드하여 설치하십시오. 최신 누적 업데이트(LCU)에 본 패치가 포함되어 있습니다. PowerShell을 통해 누적 업데이트 상태를 확인하고 설치할 수 있습니다.

powershell

# Windows Update 모듈 설치 및 업데이트 확인
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB4019264, KB4019215, KB4019472 -Install -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, DCOM의 기본 활성화 설정을 해제하거나 로컬 보안 정책을 강화하여 위험을 최소화하십시오.

powershell

# 레지스트리를 통한 DCOM(Distributed COM) 비활성화 설정
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Ole' -Name 'EnableDCOM' -Value 'N'

# 사용자 계정 컨트롤(UAC) 설정을 최고 수준으로 강화
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name 'ConsentPromptBehaviorAdmin' -Value 2

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에서 비정상적인 상위 권한 프로세스 생성 이력 및 COM 관련 오류 로그를 점검하십시오.

powershell

# 이벤트 뷰어에서 COM/DCOM 관련 오류 및 비정상 권한 상승 시도 로그 검색
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-DistributedCOM'; Id=10016} -ErrorAction SilentlyContinue | Select-Object -First 10 | Format-Table TimeCreated, Message

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

영향을 받는 Windows 시스템에 Microsoft 공식 보안 패치를 즉시 적용하고, 불필요한 COM/DCOM 서비스를 비활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows COM(Component Object Model) Aggregate Marshaler가 메모리 내에서 객체를 마샬링(Marshaling)하고 언마샬링하는 과정에서 객체의 ID 및 권한 검증을 적절히 수행하지 않아 발생합니다. 공격자는 COM 인프라의 설계적 결함을 악용하여, 낮은 권한의 프로세스에서 높은 권한(SYSTEM)을 가진 COM 객체를 임의로 인스턴스화하고 제어 흐름을 가로챌 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 로컬 세션에서 특수하게 조작된 COM 마샬링 스트림을 생성합니다. 이후 CoUnmarshalInterface 또는 관련 API를 호출하여 대상 프로세스가 이 스트림을 처리하도록 유도합니다. 이 과정에서 Aggregate Marshaler가 내부 인터페이스 포인터를 해제하거나 대체하는 과정의 검증 미흡을 악용하여, SYSTEM 권한으로 실행 중인 서비스의 컨텍스트 내에서 공격자가 지정한 임의의 코드가 실행되도록 만듭니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 활발히 악용된 이력이 있으며, EPSS 점수가 매우 높아 위험성이 큽니다. 로컬 권한 상승(LPE) 취약점으로서, 초기 침투에 성공한 공격자가 도메인 컨트롤러나 중요 서버의 최고 권한을 장악하여 랜섬웨어를 유포하거나 내부망에서 횡적 이동(Lateral Movement)을 수행하는 발판으로 악용될 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Windows COM Aggregate Marshaler in Microsoft Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, and 1703, and Windows Server 2016 allows an elevation privilege vulnerability when an attacker runs a specially crafted application, aka "Windows COM Elevation of Privilege Vulnerability". This CVE ID is unique from CVE-2017-0214.

http://www.securityfocus.com/bid/98102

출처: secure@microsoft.com · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1038457

출처: secure@microsoft.com · Broken Link, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0213

출처: secure@microsoft.com · Patch, Vendor Advisory

https://www.exploit-db.com/exploits/42020/

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/98102

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1038457

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2017-0213)

FAQ

Q1. CVE-2017-0213 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2017-0213의 기본 점수는 CVSS 7.3 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 84.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2017-0213에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows Server 2008 SP2/R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012/R2, Windows RT 8.1, Windows 10 (Gold, 1511, 1607, 1703), Windows Server 2016