이 내용은 VoidSec의 CVE-2026-40369에 대한 공개 기술 분석을 재구성하고 요약한 것으로, 이해를 돕기 위해 순서도와 방어적 참고 사항을 추가했습니다.
모든 핵심 기술 세부 사항은 그의 연구에서 비롯되었습니다. 이 버그에 대해 독립적인 리버스 엔지니어링을 수행하지 않았습니다.

CVE-2026-40369: 12-바이트 Windows 커널 증가 프리미티브의 방어적 분석

CVE-2026-40369에 대한 방어적 기술 분석입니다. 이 취약점은 NtQuerySystemInformation(클래스 0xFD / 253)을 통해 제한된 12바이트 덧셈 쓰기 프리미티브를 제공하는 Windows 커널 권한 상승 취약점입니다.

이 보고서는 무기화보다는 악용 가능성의 제약 조건, 근본 원인 분석, 방어적 함의에 초점을 맞추고 있습니다.

개요

CVE-2026-40369는 공격자가 정보 클래스 253과 길이가 0인 버퍼로 NtQuerySystemInformation을 호출할 때 커널 메모리의 인접한 세 개의 DWORD에 덧셈 쓰기를 수행할 수 있게 합니다. 제한적이지만 이 프리미티브는 신중하게 타겟팅할 경우 KASLR 우회 및 권한 상승에 활용될 수 있습니다.

이 분석에서는 다음을 다룹니다.

• 프로브 우회 및 반환되지 않는 길이 검사의 근본 원인 재구성
• 12바이트 덧셈 쓰기 프리미티브와 그 제약 조건에 대한 상세 분석
• Feature_RestrictKernelAddressLeaks KASLR 무력화 기법의 수학적 분석
• 공개적으로 문서화된 익스플로잇 경로 검토 (WIL 기능 상태 + 대체 읽기 프리미티브 접근 방식)
• 공개 PoC 코드의 빌드별 오프셋 카탈로그
• 방어적 탐지 및 강화 권장 사항

주요 내용

• WIL 기능 상태 바이트 조작(0x57 → 0x10)에 대한 정밀한 산술 분석
• 커널 포인터 누출 완화를 비활성화할 때 마스크 조건과 정확한 바이트 목표 간의 명확한 구분
• 공개 익스플로잇 저장소의 오프셋에 대한 책임 있는 카탈로그 작성
• 익스플로잇 단계보다는 익스플로잇 제약 조건에 강한 초점
• 탐지 및 완화를 위한 방어적 권장 사항