Microsoft Active Directory Federation Services (AD FS) 권한 상승 취약점 (CVE-2026-56155) 보안 권고

1. 공식 보안 패치 적용

Microsoft MSRC 권고를 참조하여 시스템에 해당하는 최신 누적 보안 업데이트를 즉시 설치하십시오.

2. 임시 완화 조치 및 권한 검토

패치 적용이 지연될 경우, AD FS 관련 디렉터리 및 레지스트리 키의 권한을 강화하십시오.

• AD FS 서비스 디렉터리 권한 확인 및 제한 (PowerShell):

# AD FS 설치 경로의 ACL을 확인하고 일반 사용자의 쓰기 권한이 있는지 검증합니다.
Get-Acl -Path "C:\Windows\ADFS" | Format-List

# 불필요한 쓰기 권한 제거 (예시: Builtin\Users의 쓰기 권한 제거)
$acl = Get-Acl -Path "C:\Windows\ADFS"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule("Users", "Write", "Deny")
$acl.AddAccessRule($accessRule)
Set-Acl -Path "C:\Windows\ADFS" -AclObject $acl

• AD FS 서비스 계정 최소 권한 원칙 적용:

AD FS 서비스가 불필요하게 과도한 도메인 관리자 권한으로 실행되지 않도록 gMSA(그룹 관리 서비스 계정)를 사용하고 권한을 최소화하십시오.

본 취약점(CVE-2026-56155)은 Active Directory Federation Services (AD FS)의 불충분한 액세스 제어 세분성(CWE-1220)으로 인해 발생하는 로컬 권한 상승(LPE) 취약점입니다.

공격자는 이미 대상 시스템에 대한 일반 사용자 수준의 로컬 인증 권한(PR:L)을 확보한 상태에서, AD FS 구성 요소 또는 관련 서비스 파일/레지스트리 경로에 설정된 부적절한 권한(ACL)을 악용합니다. 이로 인해 하위 권한 프로세스가 상위 권한으로 실행되는 AD FS 서비스의 실행 흐름을 가로채거나(DLL 하이재킹, 서비스 바이너리 교체 등) 구성 데이터를 변조하여 최종적으로 로컬 시스템(SYSTEM) 권한을 획득할 수 있습니다.

특히 본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-Wild)에서 악용되고 있음이 확인되었으며, EPSS 점수가 0.94로 매우 높아 즉각적인 대응이 요구됩니다.