Microsoft Windows splwow64 로컬 권한 상승 취약점 (CVE-2020-0986) 분석 및 대응 가이드

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-0986)은 Windows 커널이 메모리의 객체를 적절하게 처리하지 못해 발생하는 Out-of-bounds Write(CWE-787) 기반의 로컬 권한 상승(LPE) 취약점입니다. 구체적으로는 32비트 애플리케이션이 64비트 Windows 환경에서 인쇄할 수 있도록 지원하는 splwow64.exe (Printer driver host for 32-bit applications) 프로세스의 LPC(Local Procedure Call) 포트 통신 처리 로직에서 발생합니다. 공격자는 LPC 메시지를 통해 조작된 포인터를 전달함으로써 splwow64.exe 프로세스 컨텍스트 내에서 임의의 메모리 주소에 데이터를 쓸 수 있는 원시적 기능(Write-What-Where)을 획득하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 대상 시스템에 일반 사용자 권한(Low Integrity 또는 Medium Integrity)으로 로컬 액세스 권한을 확보해야 합니다. 이후 공격자는 splwow64.exe가 노출하는 LPC 포트에 연결을 시도합니다. splwow64.exe 내부의 특정 API 호출 처리기(예: GdiPrinterThunk 등)는 입력받은 포인터의 유효성을 제대로 검증하지 않고 메모리 복사 작업을 수행합니다. 공격자는 이 취약점을 악용하여 splwow64.exe 메모리 공간 내의 함수 포인터나 중요 제어 구조체를 덮어씀으로써 실행 흐름을 가로채고, 최종적으로 SYSTEM 권한으로 임의의 페이로드를 실행하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 있을 만큼 실제 야생(In-the-Wild)에서 APT 공격 그룹 등에 의해 적극적으로 악용된 이력이 있습니다. 공격자가 내부망 침투 후 Active Directory(AD) 환경 내의 개별 워크스테이션이나 멤버 서버를 장악하는 과정에서 권한 상승 단계로 흔히 사용됩니다. SYSTEM 권한이 탈취될 경우 백신 등 엔드포인트 보안 솔루션(EDR)을 무력화하고, 자격 증명(LSASS 메모리 덤프 등)을 탈취하여 내부망 전체로 횡적 이동(Lateral Movement)을 감행할 수 있어 비즈니스 연속성에 치명적인 위협을 초래합니다.