Avast Antivirus 샌드박스에 진입하고 탈출하기, 2부

(news.hada.io)

GeekNews2026년 9월 26일개발자 도구

Avast 안티바이러스 커널 드라이버의 더블 페치 취약점(CVE-2025-13032)을 이용해 사용자 권한을 SYSTEM으로 높이는 정교한 공격 기법이 공개되었으며, 이는 보안 소프트웨어의 신뢰성과 커널 수준 보안의 중요성을 시사합니다.

이 글의 핵심 포인트

1Avast 커널 드라이버의 더블 페치(double-fetch) 결함을 이용한 로컬 권한 상승 공격 분석
2I/O Ring의 RegBuffers 포인터 손상을 통해 임의의 커널 읽기 및 쓰기 권한 확보
3MDL(Memory Descriptor List)을 활용하여 현재 프로세스의 _EPROCESS 주소를 유출하는 기법 사용
4공격 성공 후 시스템 충돌(BSDC)을 방지하기 위해 풀 헤더 및 참조 수 복구 작업 포함
5해당 취약점(CVE-2025-13032)은 현재 패치 완료되었으며 Avast 업데이트 권장

이 글에 대한 공공지능 분석

왜 중요한가?

신뢰받는 보안 소프트웨어의 커널 드라이버가 오히려 시스템 권한 탈취를 위한 공격 통로가 될 수 있음을 보여줍니다. 특히 단순한 버그를 넘어 시스템 충돌(BSOD)을 피하기 위한 정교한 복구 기법까지 포함된 공격은 커널 보안의 난이도가 급격히 높아졌음을 의미합니다.

어떤 배경과 맥락이 있나?

최신 Windows 커널은 사용자 모드 메모리 접근을 검증하는 완화책을 도입하고 있으나, 이번 공격은 I/O Ring과 같은 고성능 I/O 메커니즘의 구조적 특성을 활용하여 이를 우회했습니다. 이는 드라이버 개발 시 성능 최적화와 보안 검증 사이의 간극이 여전히 존재함을 나타냅니다.

업계에 어떤 영향을 주나?

보안 업계는 이제 시그니처 기반 탐지를 넘어, 드라이버의 메모리 접근 패턴이나 구조적 결함을 찾아내는 정적/동적 분석 기술에 더 집중해야 합니다. 또한, 커널 모드 드라이버를 개발하는 모든 기술 기업은 '더블 페치'와 같은 경쟁 조건(Race Condition)에 대한 엄격한 코딩 표준을 준수해야 합니다.

한국 시장에 어떤 시사점이 있나?

국내 보안 솔루션 및 시스템 소프트웨어 스타트업들은 제품의 성능뿐만 아니라 커널 레벨에서의 메모리 안전성(Memory Safety)을 핵심 경쟁력으로 삼아야 합니다. 글로벌 보안 위협이 드라이버의 구조적 허점을 파고드는 만큼, 보안 설계 단계부터 취약점 분석을 통합하는 'Security by Design' 전략이 필수적입니다.

이 글에 대한 큐레이터 의견

이번 CVE-2025-13032 분석은 공격자들이 단순히 취약점을 찾는 것을 넘어, 운영체제의 핵심 메커니즘(I/O Ring, MDL 등)을 공격 도구로 재정의하고 있음을 보여줍니다. 특히 공격자가 시스템 충돌을 피하기 위해 풀 헤더를 복구하는 과정은 공격의 완성도가 매우 높음을 시사하며, 이는 보안 솔루션 개발자들에게 매우 위협적인 신호입니다.

물론 보안을 강화하기 위해 사용자 모드 접근자 검증을 강화하면 보안성은 높아지지만, 이는 필연적으로 I/O 성능 저하라는 트레이드오프를 발생시킵니다. 고성능을 지향하는 시스템 소프트웨어 스타트업 입장에서는 보안 강화가 제품의 핵심 가치인 '속도'를 훼손할 수 있다는 리스크를 안고 있습니다. 따라서 무조건적인 검증보다는, 성능에 미치는 영향을 최소화하면서도 구조적 결함을 차단할 수 있는 지능적인 검증 아키텍처 설계가 필요합니다.

창업자들은 보안을 단순한 '패치'의 영역이 아닌 '제품 아키텍처'의 핵심 요소로 다루어야 합니다. CI/CD 파이프라인 내에 퍼징(Fuzzing) 테스트를 내재화하고, 드라이버 개발 시 메모리 할당과 참조 수 관리에 대한 자동화된 정적 분석 도구를 도입하여 잠재적인 권한 상승 경로를 사전에 차단하는 실행 가능한 전략을 구축해야 합니다.

원문 보기 →