CVE 데이터베이스CVE-2022-24521

최종 갱신 2026-06-17English Advisory →

CVE-2022-245217.8/HIGHCISA KEV 등재CWE-787

Windows CLFS(공통 로그 파일 시스템) 드라이버 권한 상승 취약점 (CVE-2022-24521) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2022-04-15

CVSS v3.1

7.8

HIGH

30일 악용확률

7.1%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 10, 11 및 Windows Server 2008부터 2022까지의 모든 지원 대상 운영체제.

파급 효과

로컬 인증을 획득한 일반 사용자가 커널 권한(SYSTEM)으로 임의 코드를 실행하여 시스템을 완전히 장악할 수 있습니다.

권장 조치

Microsoft 공식 누적 업데이트(LCU)를 즉시 적용하고, CLFS 로그 생성 및 비정상적인 드라이버 호출을 모니터링하십시오.

영향받는 제품 및 버전 범위

Windows 10, Windows 11, Windows Server 2008, 2012, 2016, 2019, 2022 등 CLFS 드라이버를 사용하는 대다수의 Windows OS 버전 (2022년 4월 패치 미적용 대상).

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 제공하는 공식 누적 업데이트를 적용하는 것이 유일한 근본 해결책입니다. Windows Update 서비스를 통해 최신 패치를 적용하거나, PowerShell을 사용하여 누적 업데이트 설치 상태를 강제로 확인하고 업데이트할 수 있습니다.

powershell

# Windows Update 에이전트를 호출하여 누적 업데이트 설치 상태 확인 및 누락된 패치 설치
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

커널 드라이버 취약점 특성상 완벽한 임시 완화책은 존재하지 않으나, 비인가 사용자의 의심스러운 파일 생성 및 실행 권한을 제한하여 공격 표면을 줄일 수 있습니다. 특히 임시 디렉터리나 사용자 프로필 폴더 내에서 .blf 파일 생성을 차단하는 AppLocker 또는 소프트웨어 제한 정책(SRP)을 적용하는 것이 권장됩니다.

powershell

# PowerShell을 사용하여 특정 사용자 경로 내 .blf 파일 생성 여부를 모니터링하는 규칙 예시
$Path = 'C:\Users\*\AppData\Local\Temp'
$Filter = '*.blf'
Write-Host 'Monitoring CLFS file creation in temp directories...' -ForegroundColor Yellow
# (실무 환경에서는 EDR 또는 파일 무결성 모니터링(FIM) 솔루션을 통해 .blf 생성을 차단하십시오)

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 CLFS 드라이버(clfs.sys)의 파일 버전을 확인하여 2022년 4월 보안 업데이트 적용 여부를 검증하고, 이벤트 로그에서 비정상적인 충돌 흔적을 점검합니다.

powershell

# clfs.sys 파일 버전 확인 스크립트
$ClfsPath = '$env:SystemRoot\System32\drivers\clfs.sys'
if (Test-Path $ClfsPath) {
    $FileVersion = (Get-Item $ClfsPath).VersionInfo.FileVersion
    Write-Host 'Current CLFS.sys Version:' $FileVersion
    Write-Host 'Ensure your system has been patched with April 2022 (or later) updates.' -ForegroundColor Green
} else {
    Write-Host 'CLFS.sys driver not found in default path.' -ForegroundColor Red
}

# CLFS 관련 시스템 이벤트 로그 오류(드라이버 손상 또는 블루스크린 흔적) 검색
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2} -ErrorAction SilentlyContinue | 
    Where-Object {$_.Message -like '*clfs*' -or $_.Message -like '*Common Log File System*'} | 
    Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV에 등재되어 실제 공격에 악용된 취약점이므로, 2022년 4월 이후의 Windows 누적 업데이트가 자산에 모두 적용되었는지 즉시 자산 관리 시스템을 통해 검증하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows 운영체제의 핵심 커널 구성 요소인 공통 로그 파일 시스템(CLFS.sys) 드라이버에서 발생하는 경계 외 쓰기(Out-of-bounds Write, CWE-787) 취약점입니다. CLFS는 고성능 트랜잭션 로깅을 제공하는 서브시스템으로, 사용자 모드 애플리케이션이 커널 API를 통해 로그 파일(.blf)을 생성하고 조작할 수 있도록 허용합니다. 취약점의 근본 원인은 CLFS가 특수하게 조작된 기본 로그 파일(Base Log File) 구조체를 파싱할 때, 내부 메타데이터 블록의 오프셋과 크기 검증을 누락하여 발생합니다. 이로 인해 커널 메모리 영역에 대한 경계 외 쓰기가 유도되어 메모리 오염이 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 시스템에 대한 로컬 실행 권한(일반 사용자 권한)을 확보한 상태에서 공격을 시작합니다.

악성 BLF 파일 생성: 공격자는 CLFS 메타데이터 블록(예: CLFS_LOG_ANCHOR_BLOCK 또는 CLFS_BASE_RECORD_HEADER) 내의 포인터 및 크기 필드를 정밀하게 조작한 가짜 .blf 파일을 디스크에 작성합니다.
API 호출을 통한 트리거: CreateLogFile 또는 AssociateUserGlobalTx와 같은 CLFS 관련 API를 호출하여 조작된 로그 파일을 커널에 로드합니다.
커널 메모리 오염: CLFS 드라이버가 유효성 검사 없이 손상된 메타데이터를 처리하는 과정에서, 공격자가 제어하는 데이터가 인접한 커널 풀(Kernel Pool) 메모리 영역을 덮어쓰게 됩니다.
SYSTEM 권한 획득: 공격자는 커널 객체의 함수 포인터(vftable)를 덮어씌워 실행 흐름을 가로채고, 최종적으로 현재 프로세스의 토큰을 NT AUTHORITY\SYSTEM 토큰으로 교체하여 권한 상승을 달성합니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 미 국토안보부 사이버보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 야생(In-the-Wild)에서 활발히 악용된 고위험군 취약점입니다. 로컬 권한 상승(LPE) 취약점은 단독으로 사용되기보다, 피싱 메일이나 웹 브라우저 취약점을 통해 최초 침투에 성공한 공격자가 내부망 이동(Lateral Movement) 및 랜섬웨어 배포를 위해 시스템 통제권을 장악하는 2단계 공격 체인에서 핵심적인 역할을 수행합니다. 따라서 패치되지 않은 시스템은 기업 내부망 전체의 붕괴로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Windows Common Log File System Driver Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24521

출처: secure@microsoft.com · Patch, Vendor Advisory

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24521

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24521

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-24521)

FAQ

Q1. CVE-2022-24521 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-24521의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 7.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-24521에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows 10, Windows 11, Windows Server 2008, 2012, 2016, 2019, 2022 등 CLFS 드라이버를 사용하는 대다수의 Windows OS 버전 (2022년 4월 패치 미적용 대상).

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 누적 업데이트(LCU)를 즉시 적용하고, CLFS 로그 생성 및 비정상적인 드라이버 호출을 모니터링하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동