요약

Windows 메모장 앱에서 명령에 사용되는 특수 요소의 부적절한 중화('명령 주입')로 인해 인증되지 않은 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.

최신 Windows 메모장 앱(Microsoft Store를 통해 배포)은 클릭 가능한 하이퍼링크를 포함하는 Markdown 렌더링 기능을 도입했습니다. 이 취약점은 메모장이 Markdown 링크 내의 URI 스킴을 처리하기 전에 제대로 검증하고 삭제하지 못하기 때문에 발생합니다. 공격자는 특수하게 구성된 링크가 포함된 악성 .md 파일을 제작하여, 사용자가 이를 클릭하면 검증되지 않은 프로토콜 핸들러가 원격 콘텐츠를 로드하고 실행하도록 유도할 수 있습니다.

CVSS v3.1 지표

기본 지표

임시 지표

FAQ

공격자는 이 취약점을 어떻게 악용할 수 있나요?

공격자는 사용자가 메모장에서 연 Markdown 파일 내의 악성 링크를 클릭하도록 속여, 애플리케이션이 검증되지 않은 프로토콜을 실행하여 원격 파일을 로드하고 실행하게 할 수 있습니다.

원격 코드 실행의 대상 컨텍스트는 무엇인가요?

CVSS 지표에 따르면 공격 벡터는 네트워크(AV:N)이고 사용자 상호작용이 필요합니다(UI:R). 악성 코드는 Markdown 파일을 연 사용자의 보안 컨텍스트에서 실행되므로, 공격자는 해당 사용자와 동일한 권한을 얻게 됩니다.

공격 시나리오

1. 공격자는 악성 하이퍼링크가 포함된 Markdown(.md) 파일을 제작합니다.
2. 피해자는 취약한 버전의 Windows 메모장에서 해당 파일을 엽니다.
3. 메모장은 Markdown을 렌더링하고 클릭 가능한 링크를 표시합니다.
4. 피해자가 링크를 클릭하면 메모장은 제대로 된 검증 없이 URI를 처리합니다.
5. 이로 인해 원격 페이로드를 가져와 실행할 수 있는 프로토콜 핸들러(예: ms-appinstaller://) 또는 로컬 실행 파일을 직접 실행할 수 있는 file:// URI가 트리거됩니다.
6. 악성 코드는 로그인한 사용자와 동일한 권한으로 실행됩니다.

개념 증명(PoC)

면책 조항: 이 개념 증명은 교육 및 공인된 보안 연구 목적으로만 제공됩니다. 소유하지 않았거나 명시적인 서면 테스트 허가를 받지 않은 시스템에 이를 사용하지 마십시오. 컴퓨터 시스템에 대한 무단 접근은 불법이며 법적 처벌을 받을 수 있습니다.

PoC는 제작된 Markdown 링크를 통한 두 가지 공격 벡터를 보여줍니다:

벡터 1 - 프로토콜 핸들러 남용을 통한 원격 페이로드 설치:

벡터 2 - 파일 URI를 통한 로컬 실행 파일 호출:

데모

해결 방안

• Windows 메모장 업데이트: Microsoft Store를 통해 11.2510 이상 빌드로 업데이트하세요.
• Windows 설정 > 앱 > Microsoft Store에서 자동 앱 업데이트를 활성화하세요.
• 신뢰할 수 없는 출처의 .md 파일을 메모장에서 열지 마세요.
• 이메일이나 신뢰할 수 없는 다운로드를 통해 받은 Markdown 파일 내의 링크를 클릭하지 마세요.

참고 자료

• MSRC - CVE-2026-20841
• NVD - CVE-2026-20841
• CVE.org - CVE-2026-20841

법적 면책 조항

이 저장소에 제공된 정보는 교육 및 공인된 보안 연구 목적으로만 제공됩니다. 이 개념 증명은 방어자가 취약점을 이해하고 완화하는 데 도움을 주기 위해 공유됩니다. 저자는 여기에 제공된 정보나 도구의 오용에 대해 책임을 지지 않습니다. 모든 시스템에서 취약점을 테스트하기 전에 항상 적절한 서면 승인을 받으십시오. 컴퓨터 시스템에 대한 무단 접근은 대부분의 관할권에서 범죄 행위입니다. 책임감 있고 윤리적으로 사용하십시오.