CVE 데이터베이스CVE-2021-42278

최종 갱신 2026-08-19English Advisory →

CVE-2021-422787.5/HIGHCISA KEV 등재

Active Directory 도메인 서비스 권한 상승 취약점 (CVE-2021-42278) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

active directory domain services, windows server

권고문 발행일

2021-11-10

CVSS v3.1

7.5

HIGH

30일 악용확률

73.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Active Directory 도메인 서비스(AD DS)가 활성화된 Windows Server 2008부터 2022까지의 모든 도메인 컨트롤러

파급 효과

일반 도메인 사용자 권한을 가진 공격자가 도메인 컨트롤러의 컴퓨터 계정 이름을 스푸핑하여 도메인 관리자(Domain Admin) 권한을 획득하고 전체 도메인을 장악할 수 있습니다

권장 조치

Microsoft에서 제공하는 최신 누적 보안 업데이트를 적용하고, 도메인 컨트롤러에서 KB5008380 관련 레지스트리 설정을 강제(Enforcement) 모드로 전환하십시오

영향받는 제품 및 버전 범위

Active Directory 도메인 서비스(AD DS) 역할을 수행하는 Windows Server 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022 전 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

도메인 내의 모든 도메인 컨트롤러(DC)에 2021년 11월 9일 이후 출시된 Microsoft 누적 보안 업데이트(KB5008380 등)를 즉시 적용해야 합니다.

PowerShell을 사용하여 누적 업데이트 설치 상태를 확인하고 필요한 패치를 적용합니다:

powershell

# KB5008380 또는 이후 누적 업데이트 설치 여부 확인
Get-HotFix -Id KB5008380

# 패치가 누락된 경우 Windows Update 서비스를 통해 업데이트 강제 실행
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -Install -KBArticleID KB5008380 -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 즉시 어려운 경우, 일반 사용자가 도메인에 임의로 컴퓨터 계정을 생성하지 못하도록 MachineAccountQuota 값을 0으로 변경하여 공격 표면을 최소화합니다.

Active Directory 모듈을 사용하여 도메인의 컴퓨터 계정 생성 제한 설정을 변경합니다:

powershell

# 현재 MachineAccountQuota 값 확인
Get-ADDomain | Select-Object -Property DistinguishedName, MachineAccountQuota

# 일반 사용자의 컴퓨터 계정 생성 권한을 0으로 제한 (도메인 관리자만 생성 가능)
Set-ADDomain -Identity (Get-ADDomain).DistinguishedName -MachineAccountQuota 0

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

도메인 컨트롤러의 이벤트 로그를 분석하여 sAMAccountName이 비정상적으로 변경되었거나 끝에 $가 없는 컴퓨터 계정이 생성되었는지 점검합니다.

이벤트 ID 4741(컴퓨터 계정 생성) 및 4742(컴퓨터 계정 변경)를 추적하는 PowerShell 스크립트입니다:

powershell

# 최근 7일간 생성되거나 변경된 컴퓨터 계정 중 sAMAccountName 끝에 '$'가 없는 비정상 계정 탐색
$StartDate = (Get-Date).AddDays(-7)
$Events = Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4741, 4742
    StartTime = $StartDate
} -ErrorAction SilentlyContinue

foreach ($Event in $Events) {
    $Xml = [xml]$Event.ToXml()
    $SamName = ($Xml.Event.EventData.Data | Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
    if ($SamName -and -not $SamName.EndsWith('$')) {
        Write-Warning '비정상적인 컴퓨터 계정 감지 (sAMAccountName 끝에 $ 없음):'
        Write-Host '이벤트 ID:' $Event.Id
        Write-Host '계정명:' $SamName
        Write-Host '발생 시간:' $Event.TimeCreated
        Write-Host '----------------------------------------'
    }
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

도메인 컨트롤러에 최신 누적 패치를 적용하고, MachineAccountQuota 값을 0으로 설정하여 비인가 계정 생성을 차단하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Active Directory 도메인 서비스(AD DS)에서 컴퓨터 계정의 sAMAccountName 속성을 검증하고 처리하는 과정의 설계 결함으로 인해 발생합니다. 기본적으로 AD에서 컴퓨터 계정의 이름은 끝에 달러 기호($)가 붙는 규칙(예: DESKTOP-01$)을 따르지만, AD DS는 컴퓨터 계정 생성 또는 수정 시 sAMAccountName 끝에 $가 실제로 포함되어 있는지 엄격하게 강제하지 않았습니다. 이로 인해 일반 도메인 사용자가 자신이 제어하는 컴퓨터 계정의 이름을 $ 기호 없이 일반 사용자나 도메인 컨트롤러의 이름과 유사하게 변경할 수 있는 보안 허점이 존재했습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 일반 도메인 사용자 계정을 확보한 후 다음과 같은 단계로 권한 상승을 수행합니다:

컴퓨터 계정 생성: 일반 사용자는 기본 권한(MachineAccountQuota)을 이용해 도메인에 새 컴퓨터 계정(예: TEMP-PC$)을 생성합니다.
이름 스푸핑: 생성한 컴퓨터 계정의 sAMAccountName을 대상 도메인 컨트롤러의 이름에서 $를 제외한 형태(예: 도메인 컨트롤러가 DC01$인 경우 DC01로 설정)로 변경합니다.
Kerberos 티켓 요청: 변경된 이름(DC01)으로 Kerberos TGT(Ticket Granting Ticket)를 요청합니다.
이름 복원 및 TGS 요청: TGT를 발급받은 후, 공격자는 자신의 컴퓨터 계정 이름을 다시 원래 상태(TEMP-PC$)로 되돌립니다. 이후 발급받았던 TGT를 사용하여 도메인 컨트롤러 서비스에 대한 TGS(Ticket Granting Service)를 요청합니다.
도메인 관리자 권한 획득: AD Key Distribution Center(KDC)는 TGS 요청을 처리할 때 TGT에 기록된 DC01 계정을 찾지 못하면 자동으로 끝에 $를 붙여 DC01$(실제 도메인 컨트롤러 계정)로 검색을 시도합니다. 이 과정에서 KDC는 공격자를 실제 도메인 컨트롤러로 오인하여 도메인 관리자 권한의 서비스 티켓을 발급하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 활발히 악용된 고위험 취약점입니다. 공격자가 도메인 내의 일반 사용자 계정 하나만 탈취하더라도 몇 초 만에 전체 Active Directory 포레스트의 최고 권한(Domain Admin)을 장악할 수 있습니다. 이는 기업 내부망 전체의 기밀 데이터 유출, 랜섬웨어 배포를 통한 인프라 마비, 백도어 설치를 통한 지속적인 위협(APT)으로 이어져 비즈니스에 치명적인 타격을 입힙니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Active Directory Domain Services Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42278

출처: secure@microsoft.com · Patch, Vendor Advisory

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-42278

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-42278

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-42278)

FAQ

Q1. CVE-2021-42278 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-42278의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 73.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-42278에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 active directory domain services, windows server입니다. 상세 영향 범위: Active Directory 도메인 서비스(AD DS) 역할을 수행하는 Windows Server 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022 전 버전

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft에서 제공하는 최신 누적 보안 업데이트를 적용하고, 도메인 컨트롤러에서 KB5008380 관련 레지스트리 설정을 강제(Enforcement) 모드로 전환하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동