Windows 커널 모드 드라이버 권한 상승 취약점 (CVE-2024-35250) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWindows 10, 11 및 Windows Server 2016, 2019, 2022 등 지원 대상 내 대다수 Windows 운영체제 커널 환경.
로컬 권한을 가진 공격자가 커널 영역 내의 신뢰할 수 없는 포인터 역참조(CWE-822) 취약점을 악용하여 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다.
Microsoft에서 제공하는 최신 누적 보안 업데이트(2024년 6월 이후 패치)를 즉시 적용하고, 침해 지표(IoC)를 모니터링하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Microsoft 공식 보안 업데이트를 적용하는 것이 가장 확실한 해결책입니다. 아래 PowerShell 명령어를 사용하여 누적 업데이트 설치 상태를 확인하고 업데이트를 강제 실행할 수 있습니다.
# Windows Update 에이전트를 통해 누적 업데이트 확인 및 설치
Install-Module PSWindowsUpdate -Force -Verbose
Get-WindowsUpdate -AcceptAll -Install -AutoReboot2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
커널 드라이버 취약점 특성상 완전한 임시 완화책은 제한적이나, 비인가 사용자의 로컬 로그인을 제한하고 시스템 내 비정상적인 프로세스 생성을 차단하기 위해 AppLocker 또는 Windows Defender Application Control(WDAC)을 강화합니다.
# 로컬 감사 정책 강화: 프로세스 생성 이벤트(4688) 및 명령줄 인수 로깅 활성화
auditpol /set /subcategory:'Process Creation' /success:enable /failure:enable
reg add 'HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Audit' /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
시스템 내 ks.sys 드라이버의 버전 및 수정 날짜를 점검하여 패치 적용 여부를 확인합니다.
# ks.sys 파일 버전 및 마지막 수정 시간 확인
Get-Item -Path 'C:\Windows\System32\drivers\ks.sys' | Select-Object VersionInfo, LastWriteTime패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2024-35250)은 Windows 커널 모드 드라이버(ks.sys - Kernel Streaming) 내에서 발생하는 권한 상승(EoP) 취약점입니다. 취약점의 근본 원인은 신뢰할 수 없는 포인터 역참조(CWE-822)에 기인합니다. 커널 드라이버가 사용자 모드 애플리케이션으로부터 전달받은 입력 데이터 구조체 내의 포인터를 적절히 검증하지 않고 직접 역참조하거나 조작할 때 발생하며, 이로 인해 커널 메모리 손상 및 임의 주소 쓰기(Write-What-Where)가 가능해집니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 먼저 대상 시스템에 일반 사용자(Low-Privilege) 권한으로 로컬 액세스 권한을 확보해야 합니다. 이후 특수하게 조작된 IOCTL(Input/Output Control) 요청을 취약한 커널 스트리밍 드라이버(ks.sys)에 전송합니다. 드라이버가 사용자 영역에서 제공한 포인터를 검증 없이 커널 공간에서 역참조하는 과정에서, 공격자는 커널 구조체(예: 프로세스의 Token 포인터)를 덮어써 자신의 프로세스 권한을 nt authority\system으로 상승시킵니다. 본 취약점은 실제 야생에서 악용된 사례가 확인되어 CISA KEV(Known Exploited Vulnerabilities)에 등재되었습니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점이 성공적으로 악용될 경우, 로컬 공격자가 시스템의 완전한 제어권을 획득하게 됩니다. 이는 엔터프라이즈 인프라 내에서 초기 침투에 성공한 공격자가 내부망 이동(Lateral Movement)을 수행하거나, 랜섬웨어를 배포하고, 보안 솔루션(EDR/AV)을 무력화하는 데 결정적인 교두보 역할을 합니다. 특히 커널 수준에서의 권한 탈취는 운영체제 전반의 무결성을 완전히 붕괴시킵니다.
공식 보안 권고문 및 참조 링크
Windows Kernel-Mode Driver Elevation of Privilege Vulnerability
자주 묻는 실무 질문 (FAQ — CVE-2024-35250)
FAQQ1. CVE-2024-35250 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2024-35250의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 25.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2024-35250에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows 10, Windows 11, Windows Server 2016, 2019, 2022, 2025 등 지원 대상 내 대다수 Windows OS 버전.
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Microsoft에서 제공하는 최신 누적 보안 업데이트(2024년 6월 이후 패치)를 즉시 적용하고, 침해 지표(IoC)를 모니터링하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2024-35250 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (microsoft)
동일 카테고리 전체 보기 →Windows IKE 확장 모듈 이중 해제(Double Free) 취약점 원격 코드 실행 경보 (CVE-2026-33824)
[영향 대상] Windows 및 Windows Server 운영체제에서 실행되는 IKE(Internet Key Exchange) 확장 서비스
Windows 원격 액세스 연결 관리자(RasMan) Null 포인터 역참조 로컬 서비스 거부(DoS) 취약점 (CVE-2026-21525) 분석 및 대응 가이드
[영향 대상] Windows Remote Access Connection Manager(RasMan) 서비스를 사용하는 Windows 및 Windows Server 운영체제 전반.
Microsoft Windows Shell 보안 기능 우회 취약점 (CVE-2026-21510) 긴급 보안 권고
[영향 대상] Microsoft Windows 운영체제 전반의 Windows Shell 구성 요소
Windows ALPC 힙 기반 버퍼 오버플로우 권한 상승 취약점 (CVE-2026-85880) 긴급 보안 권고
[영향 대상] Windows 운영체제 전반의 로컬 인증된 사용자 계정
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.