CVE 데이터베이스CVE-2019-0808

최종 갱신 2026-06-17English Advisory →

CVE-2019-08087.8/HIGHCISA KEV 등재

Microsoft Windows Win32k 커널 메모리 손상 로컬 권한 상승 취약점 (CVE-2019-0808)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_7, windows_server_2008

권고문 발행일

2019-04-09

CVSS v3.1

7.8

HIGH

30일 악용확률

53.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 7 및 Windows Server 2008 등 Win32k 구성 요소를 사용하는 레거시 Windows 운영체제

파급 효과

로컬 공격자가 커널 모드에서 임의 코드를 실행하여 시스템 제어권을 완전히 획득하고 SYSTEM 권한으로 상승 가능

권장 조치

Microsoft 공식 보안 패치를 즉시 적용하거나 최신 지원 운영체제(Windows 10/11, Server 2016 이상)로 마이그레이션 수행

영향받는 제품 및 버전 범위

Windows 7 (x86/x64), Windows Server 2008 (x86/x64/IA64), Windows Server 2008 R2 (x64/IA64) 등 레거시 Windows 시스템

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 업데이트를 다운로드하여 설치하십시오. Windows Update 서비스를 통해 설치하거나 아래 PowerShell 명령어를 사용하여 특정 패치(KB4489878 등)를 강제 설치할 수 있습니다.

powershell

# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -KBArticleID KB4489878 -Install -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 레거시 시스템의 경우, 비인가 사용자의 로컬 로그인을 엄격히 제한하고 원격 데스크톱(RDP) 세션을 최소화해야 합니다. 또한, AppLocker 또는 소프트웨어 제한 정책을 사용하여 신뢰되지 않은 바이너리의 실행을 차단하십시오.

cmd

:: 로컬 사용자의 불필요한 대화형 로그인 권한 박탈
secedit /export /cfg C:\secpol.cfg
:: secpol.cfg 파일 내 SeDenyInteractiveLogonRight에 대상 계정 추가 후 적용
secedit /configure /db secedit.sdb /cfg C:\secpol.cfg /areas USER_RIGHTS

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 win32k.sys 파일의 버전을 점검하여 취약한 상태인지 확인하는 스크립트입니다. 또한 이벤트 뷰어에서 비정상적인 권한 상승 시도나 크래시 로그를 모니터링하십시오.

powershell

# win32k.sys 파일 버전 확인 스크립트
$sysPath = 'C:\Windows\System32\win32k.sys'
if (Test-Path $sysPath) {
    $fileVersion = (Get-Item $sysPath).VersionInfo.FileVersion
    Write-Host '현재 win32k.sys 버전:' $fileVersion
    # Windows 7 SP1 기준 패치 적용 여부 확인 (KB4489878 이후 버전이어야 함)
    Write-Host '보안 권고: 시스템이 최신 누적 업데이트를 적용했는지 반드시 재확인하십시오.'
} else {
    Write-Host 'win32k.sys 파일을 찾을 수 없습니다.' -ForegroundColor Red
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 악용된 고위험 취약점이므로, 영향받는 레거시 Windows 시스템에 대해 즉시 보안 패치를 적용하거나 최신 OS로 업그레이드하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 커널의 win32k.sys 드라이버가 메모리 내의 객체를 부적절하게 처리할 때 발생하는 권한 상승(EoP) 취약점입니다. 구체적으로는 창 관리 및 메뉴 드래그 앤 드롭 이벤트를 처리하는 NtUserMNDragOver 시스템 콜 내부에서 해제된 메모리를 재참조하는 Use-After-Free(UAF) 또는 Null 포인터 역참조 메커니즘에 의해 발생합니다. 공격자는 특수하게 조작된 로컬 애플리케이션을 실행하여 커널 메모리 구조를 오염시키고 실행 흐름을 가로챌 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 일반 사용자 권한(Low/Medium Integrity)으로 악성 프로세스를 실행합니다. 이후 드래그 앤 드롭 작업 중 발생하는 윈도우 메시지 루프를 가로채기 위해 특정 윈도우 클래스와 메뉴 객체를 생성합니다. NtUserMNDragOver 함수가 호출되는 과정에서 커널이 해제된 메뉴 객체의 포인터를 검증 없이 참조하도록 유도하며, 이 과정에서 커널 풀(Kernel Pool) 메모리를 스프레이(Spraying)하여 공격자가 제어하는 페이로드 주소로 실행 흐름을 리다이렉션합니다. 최종적으로 시스템 토큰을 복사(Token Stealing)하여 NT AUTHORITY\SYSTEM 권한의 셸을 획득하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 실제 야생에서 활발히 악용된 것으로 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다. EPSS 점수가 0.53을 초과하여 공격 성공 가능성이 매우 높습니다. 공격자가 내부망에 침투한 후 이 취약점을 악용하면 도메인 컨트롤러나 중요 서버의 로컬 관리자 권한을 장악할 수 있으며, 이는 랜섬웨어 유포, 데이터 유출, 영구적인 백도어 설치 등 비즈니스 인프라 전체의 완전한 붕괴로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An elevation of privilege vulnerability exists in Windows when the Win32k component fails to properly handle objects in memory, aka 'Win32k Elevation of Privilege Vulnerability'. This CVE ID is unique from CVE-2019-0797.

http://packetstormsecurity.com/files/157616/Microsoft-Windows-NtUserMNDragOver-Local-Privilege-Escalation.html

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0808

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/157616/Microsoft-Windows-NtUserMNDragOver-Local-Privilege-Escalation.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0808

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0808

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2019-0808)

FAQ

Q1. CVE-2019-0808 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-0808의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 53.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-0808에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_7, windows_server_2008입니다. 상세 영향 범위: Windows 7 (x86/x64), Windows Server 2008 (x86/x64/IA64), Windows Server 2008 R2 (x64/IA64) 등 레거시 Windows 시스템

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 패치를 즉시 적용하거나 최신 지원 운영체제(Windows 10/11, Server 2016 이상)로 마이그레이션 수행 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동