Windows CLFS(공통 로그 파일 시스템) 드라이버 권한 상승 취약점 (CVE-2023-36424) 분석 및 대응 가이드

1. 공식 보안 패치 적용

Microsoft에서 배포한 누적 업데이트(LCU)를 적용하는 것이 유일하고 가장 확실한 해결책입니다.

• Windows Update 실행:

설정 > 업데이트 및 보안 > Windows 업데이트에서 최신 업데이트 확인 및 설치

• PowerShell을 통한 패치 상태 확인:

  # 특정 KB 패치 설치 여부 확인 예시 (OS 버전에 맞는 KB 번호 대입)
  Get-HotFix | Where-Object {$_.HotFixID -eq "KB5032189"}

2. 임시 완화 조치 및 모니터링

커널 드라이버 취약점 특성상 완벽한 임시 우회책은 존재하지 않으나, 공격 징후를 탐지하기 위해 아래 조치를 권장합니다.

• EDR/SIEM 탐지 룰 설정:

비정상적인 프로세스가 CLFS 관련 API를 호출하거나, 일반 사용자 권한의 프로세스가 갑자기 SYSTEM 권한으로 자식 프로세스(예: cmd.exe, powershell.exe)를 생성하는 행위를 모니터링합니다.

• 최소 권한 원칙 적용:

로컬 시스템에 대한 일반 사용자의 불필요한 실행 권한을 제한하여 공격자가 익스플로잇 코드를 실행할 수 있는 접점을 최소화합니다.

본 취약점(CVE-2023-36424)은 Windows 운영체제의 핵심 구성 요소인 공통 로그 파일 시스템(CLFS, Common Log File System) 드라이버(clfs.sys)에서 발생하는 권한 상승(EoP) 취약점입니다.

취약점 원인 및 메커니즘 (CWE-125)

이 취약점은 CLFS 드라이버가 Base Log File(BLF)의 메타데이터 구조를 파싱하는 과정에서 경계 외 읽기(Out-of-bounds Read, CWE-125) 및 부적절한 유효성 검증으로 인해 발생합니다.

• 구조적 결함: CLFS는 로그 데이터를 관리하기 위해 복잡한 컨테이너 및 블록 구조를 사용합니다. 공격자는 BLF 파일 내의 특정 오프셋이나 필드 크기 값을 비정상적으로 조작합니다.
• 메모리 손상: 조작된 BLF 파일을 커널 API를 통해 로드하면, clfs.sys 드라이버가 유효 범위를 벗어난 커널 메모리 영역을 참조하거나 덮어쓰게 됩니다.
• 권한 상승: 공격자는 이 메모리 손상 메커니즘을 정교하게 제어하여 현재 프로세스의 토큰을 NT AUTHORITY\SYSTEM 토큰으로 교체하는 방식으로 로컬 권한 상승을 달성합니다.

실무적 위험성

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 악용된 사례가 확인되었습니다. EPSS 점수가 0.94(94%)에 달할 정도로 공격 무기화 가능성이 매우 높으며, 주로 랜섬웨어 공격 그룹이나 APT 그룹이 초기 침투 후 내부망 이동(Lateral Movement) 및 권한 상승 단계에서 적극적으로 활용합니다.