Windows Win32k 커널 메모리 손상 기반 로컬 권한 상승 취약점 (CVE-2019-1132) 분석 및 대응 가이드

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 커널의 핵심 그래픽 서브시스템인 Win32k(win32k.sys) 드라이버가 메모리 내의 객체를 불완전하게 처리하여 발생하는 Use-After-Free(UAF) 또는 Null Pointer Dereference 계열의 메모리 손상 취약점입니다. 공격자가 특정 창(Window) 객체나 메뉴(Menu) 객체의 상태를 조작할 때, 커널이 이미 해제되었거나 유효하지 않은 메모리 주소를 참조하면서 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

실제 위협 그룹(예: Buhtrap APT)은 이 취약점을 브라우저 취약점 등과 연계하여 샌드박스를 우회하는 2차 페이로드로 악용했습니다. 공격자는 일반 사용자 권한(Low Integrity)으로 실행되는 프로세스에서 특수하게 조작된 시스템 호출(Syscall)을 호출하여 Win32k 내의 특정 객체 구조체를 해제한 후, 동일한 크기의 악성 객체로 메모리를 재할당합니다. 이후 커널이 해당 객체를 다시 참조할 때 공격자가 제어하는 함수 포인터가 실행되어, 최종적으로 SYSTEM 권한으로 셸코드가 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 야생(In-the-Wild)에서 활발히 악용된 고위험군 취약점입니다. 로컬 권한 상승(LPE)을 통해 공격자는 엔드포인트 내의 백신 및 EDR 솔루션을 무력화하고, 자격 증명(LSASS 메모리 등)을 탈취하여 내부망 전체로 횡적 이동(Lateral Movement)을 감행할 수 있어 비즈니스 연속성에 치명적인 위협을 초래합니다.