CVE 데이터베이스CVE-2021-36934

최종 갱신 2026-08-10English Advisory →

CVE-2021-369347.8/HIGHCISA KEV 등재

Microsoft Windows SAM 데이터베이스 과도한 권한 허용으로 인한 로컬 권한 상승 취약점 (SeriousSAM / HiveNightmare - CVE-2021-36934)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2021-07-22

CVSS v3.1

7.8

HIGH

30일 악용확률

67.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 10 버전 1809 이상 및 Windows Server 2019 이상 운영체제

파급 효과

로컬 권한을 가진 일반 사용자가 SAM, SYSTEM, SECURITY 레지스트리 하이브 파일에 접근하여 SYSTEM 권한으로 임의 코드를 실행하고 도메인 자격 증명을 탈취할 수 있음

권장 조치

보안 패치 적용 후, 볼륨 섀도 복사본(VSS)을 반드시 수동으로 삭제하고 새 복사본을 생성해야 완화가 완료됨

영향받는 제품 및 버전 범위

Windows 10 버전 1809 이상 및 Windows Server 2019, 2022 등 볼륨 섀도 복사본(VSS)이 활성화된 시스템

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 제공하는 최신 누적 업데이트를 적용합니다. Windows Update 서비스를 통해 패치를 설치하거나 PowerShell을 사용하여 업데이트 상태를 강제 확인합니다.

powershell

# Windows Update 에이전트를 호출하여 누적 업데이트 설치 확인
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치를 즉시 적용할 수 없는 환경에서는 'System32\config' 디렉터리의 ACL을 수정하여 일반 사용자의 접근을 차단하고, 기존에 생성된 취약한 볼륨 섀도 복사본을 모두 삭제해야 합니다.

cmd

:: 1. System32\config 디렉터리의 상속을 차단하고 일반 사용자 권한 제거
icacls %windir%\system32\config\*.* /inheritance:e

:: 2. 기존 볼륨 섀도 복사본(VSS) 삭제 (취약한 백업본 제거)
vssadmin delete shadows /for=c: /all /quiet

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템의 ACL 설정 상태를 점검하고, 비정상적인 VSS 접근 시도나 SAM 파일 복사 흔적을 탐지하기 위한 PowerShell 점검 스크립트입니다.

powershell

# SAM 파일의 ACL에 Users 그룹의 읽기 권한이 남아있는지 확인
$samPath = 'C:\Windows\System32\config\SAM'
$acl = Get-Acl -Path $samPath
$vulnerable = $false
foreach ($access in $acl.Access) {
    if ($access.IdentityReference -like '*Users*' -and $access.FileSystemRights -match 'Read') {
        $vulnerable = $true
    }
}
if ($vulnerable) {
    Write-Host '[WARNING] System is vulnerable! Users have read access to SAM.' -ForegroundColor Red
} else {
    Write-Host '[OK] SAM file ACL is secured.' -ForegroundColor Green
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

단순 패치 적용만으로는 기존 백업본을 통한 위협이 제거되지 않으므로, 반드시 패치 후 vssadmin 명령을 통해 기존 볼륨 섀도 복사본을 삭제하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(일명 SeriousSAM 또는 HiveNightmare)은 Windows 운영체제의 중요 시스템 파일에 대한 과도하게 허용적인 액세스 제어 목록(ACL) 설정으로 인해 발생합니다. Windows 10 버전 1809부터 시스템 드라이브의 특정 디렉터리('Windows\System32\config') 내 SAM, SECURITY, SYSTEM 등 민감한 레지스트리 하이브 파일에 대해 일반 사용자 그룹(BUILTIN\Users)에게 읽기 권한이 잘못 부여되었습니다. 비록 활성 상태의 파일은 운영체제에 의해 잠겨 있어 직접 읽을 수 없으나, 볼륨 섀도 복사본(VSS) 내에 백업된 파일들은 동일한 ACL을 유지한 채 잠금 없이 노출되는 허점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자가 시스템에 일반 사용자 권한으로 로그인한 상태에서, VSS(Volume Shadow Copy) 서비스가 활성화되어 있다면 시스템 드라이브의 백업본 경로(예: '\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM')에 직접 접근할 수 있습니다. 공격자는 이 경로에서 SAM, SYSTEM, SECURITY 하이브 파일을 로컬로 복사한 뒤, 오프라인 상태에서 로컬 관리자(Administrator) 및 도메인 캐시 계정의 NTLM 해시를 추출합니다. 추출된 해시를 이용해 Pass-the-Hash 공격을 수행하거나 로컬 권한 상승을 유도하여 최종적으로 SYSTEM 권한을 획득하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 활발히 악용된 고위험군 취약점입니다. 내부망에 침투한 공격자가 이 취약점을 악용할 경우, 단 몇 초 만에 로컬 워크스테이션 및 서버의 최고 권한(SYSTEM)을 장악할 수 있습니다. 이는 Active Directory 도메인 환경 전체의 자격 증명 노출로 이어져 기업 내부망 전체가 랜섬웨어에 감염되거나 기밀 데이터가 유출되는 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An elevation of privilege vulnerability exists because of overly permissive Access Control Lists (ACLs) on multiple system files, including the Security Accounts Manager (SAM) database. An attacker who successfully exploited this vulnerability could run arbitrary code with SYSTEM privileges. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights. An attacker must have the ability to execute code on a victim system to exploit this vulnerability. After installing this security update, you must manually delete all shadow copies of system files, including the SAM database, to fully mitigate this vulnerabilty. Simply installing this security update will not fully mitigate this vulnerability. See KB5005357- Delete Volume Shadow Copies.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/164006/HiveNightmare-AKA-SeriousSAM.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-36934

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.kb.cert.org/vuls/id/506989

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-36934

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource