CVE 데이터베이스CVE-2020-1054

최종 갱신 2026-10-08English Advisory →

CVE-2020-10547.0/HIGHCISA KEV 등재CWE-787CWE-787

Microsoft Windows Win32k 커널 모드 드라이버 권한 상승 취약점 (CVE-2020-1054) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2020-05-21

CVSS v3.1

7.0

HIGH

30일 악용확률

53.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 7, 8.1, 10 및 Windows Server 2008, 2012, 2016, 2019 등 다수의 Windows 운영체제 버전

파급 효과

로컬 권한을 가진 공격자가 특수하게 제작된 애플리케이션을 실행하여 커널 모드(SYSTEM 권한)에서 임의 코드를 실행하고 시스템을 완전히 장악할 수 있음

권장 조치

Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 비인가 사용자의 로컬 로그인 및 실행 권한을 엄격히 제한

영향받는 제품 및 버전 범위

Windows 7, 8.1, 10 및 Windows Server 2008, 2012, 2016, 2019 등 지원 대상 및 일부 구형 Windows OS 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 제공하는 공식 누적 업데이트 패치를 적용해야 합니다. Windows Update 서비스를 통해 최신 패치를 적용하거나, 아래 PowerShell 명령어를 사용하여 누적 업데이트 설치 상태를 확인하고 강제 업데이트를 수행할 수 있습니다.

powershell

# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치를 즉시 적용하기 어려운 환경에서는 로컬 로그인 권한을 최소화하고, 신뢰할 수 없는 사용자의 대화형 로그인(Interactive Logon)을 차단해야 합니다. 또한, AppLocker 또는 소프트웨어 제한 정책을 통해 비인가 실행 파일의 실행을 원천 차단합니다.

powershell

# 로컬 게스트 계정 비활성화 및 미사용 계정 잠금
Disable-LocalUser -Name 'Guest'

# 원격 데스크톱(RDP)을 통한 비인가 로컬 접속 제한 설정
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 1

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에서 DrawIconEx 악용 시도와 관련된 비정상적인 프로세스 생성 이력이나 커널 크래시(BSOD) 로그를 점검합니다. 아래 스크립트를 통해 현재 시스템의 빌드 버전을 확인하여 취약한 상태인지 점검할 수 있습니다.

powershell

# 현재 Windows OS 빌드 정보 및 설치된 KB 패치 확인
Get-WmiObject Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
Get-HotFix | Where-Object { $_.HotFixID -match 'KB4556799' -or $_.HotFixID -match 'KB4556846' }

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 및 실제 악용이 확인된 취약점이므로, Microsoft 공식 보안 업데이트를 즉시 적용하여 커널 권한 상승 위협을 차단하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 커널 모드 드라이버(win32k.sys)가 메모리 내의 객체를 적절하게 처리하지 못해 발생하는 경계 밖 쓰기(OOB Write, CWE-787) 취약점입니다. 특히 DrawIconEx 함수와 관련된 그래픽 컴포넌트 처리 과정에서 비정상적인 파라미터나 비트맵 객체를 처리할 때, 할당된 버퍼의 경계를 초과하여 메모리에 데이터를 기록하는 결함이 존재합니다. 이로 인해 커널 메모리 오염이 발생할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자가 이 취약점을 악용하려면 먼저 대상 시스템에 일반 사용자 권한으로 로그인해야 합니다. 이후 공격자는 DrawIconEx API를 호출하는 특수하게 제작된 사용자 모드 애플리케이션을 실행합니다. 이 과정에서 커널 드라이버가 메모리 경계 검증을 누락하여 인접한 커널 구조체를 덮어쓰게 되며, 최종적으로 프로세스의 토큰 정보를 SYSTEM 권한으로 교체(Token Stealing)하는 방식으로 로컬 권한 상승(LPE)을 달성합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 악용된 사례가 확인된 고위험군 취약점입니다. 공격자가 일반 사용자 권한을 획득한 상태에서 이 취약점을 연계하면, 보안 솔루션을 우회하고 커널 권한으로 악성 프로그램을 설치하거나, 데이터를 무단 변경/삭제하고, 최고 관리자 권한의 신규 계정을 생성하는 등 인프라 전체를 완전히 장악할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An elevation of privilege vulnerability exists in Windows when the Windows kernel-mode driver fails to properly handle objects in memory. An attacker who successfully exploited this vulnerability could run arbitrary code in kernel mode. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights. To exploit this vulnerability, an attacker would first have to log on to the system. An attacker could then run a specially crafted application that could exploit the vulnerability and take control of an affected system. The update addresses this vulnerability by correcting how the Windows kernel-mode driver handles objects in memory.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-1054

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/160515/Microsoft-Windows-DrawIconEx-Local-Privilege-Escalation.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1054

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1054

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2020-1054)

FAQ

Q1. CVE-2020-1054 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-1054의 기본 점수는 CVSS 7.0 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 53.9%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-1054에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows 7, 8.1, 10 및 Windows Server 2008, 2012, 2016, 2019 등 지원 대상 및 일부 구형 Windows OS 버전

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 비인가 사용자의 로컬 로그인 및 실행 권한을 엄격히 제한 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동