CVSS 점수 9.8은 즉각적인 패치가 필요한 거의 최대 심각도 문제를 나타냅니다.

2. 우리가 수행한 작업

이 연구 동안 우리는 다음 작업을 수행했습니다:

1. CVE 배경 연구
   CVE가 무엇인지, MITRE가 식별자를 어떻게 할당하는지, 일반적인 CVE 레코드에 포함된 정보를 설명했습니다.

2. 취약점 특성화
   CVE-2024-38063이 "성배" 버그로 간주되는 이유를 문서화했습니다: 인증 불필요, 사용자 상호 작용 없음, 웜 가능성, 기본 활성화된 IPv6, 커널 모드 영향.

3. IPv6 기초
   IPv4와 IPv6의 차이점, 확장 헤더의 역할, IPv6에서 단편화가 다르게 작동하는 이유를 다뤘습니다.

4. 심층 근본 원인 분석
   tcpip.sys 내부의 전체 패킷 경로를 추적했습니다:

   • Destination Options + Fragment 헤더가 상호 작용하는 방식
   • NET_BUFFER_LIST (NBL) 일괄 처리의 역할
   • Ipv6pProcessOptions 및 IppSendErrorList의 동작
   • Ipv6pReceiveFragment의 정수 언더플로
   • 커널 힙 오버플로로 이어지는 16비트 할당 대 32/64비트 복사 불일치
   • BSOD에서 가능한 원격 코드 실행까지의 경로

5. 용어 및 난이도 평가
   보안 용어, Windows 관련 개념, 각 악용 단계의 상대적 난이도를 설명하는 명확한 표를 작성했습니다.

6. 개념 증명 개발
   취약점을 트리거하는 데 필요한 인터리브된 잘못된 Destination Options 패킷과 IPv6 단편을 구성하는 Scapy 기반 Python 스크립트를 구축하고 문서화했습니다.

7. 완전한 격리 실습 가이드
   다음에 대한 단계별 지침을 작성했습니다:

   • Kali(공격자) 및 패치되지 않은 Windows(대상) 가상 머신 설정
   • 정적 IPv6 주소 구성
   • bcdedit /set debug on으로 패킷 병합 활성화
   • 방화벽 비활성화
   • PoC 실행 및 블루 스크린 확인
   • 일반적인 실패 문제 해결

8. 데모
   전체 실습 설정, 스크립트 실행 및 성공적인 크래시를 보여주는 비디오를 녹화했습니다.

9. 패치 검토
   공식 2024년 8월 누적 업데이트(KB 번호)와 수정 사항이 경쟁 조건을 제거하는 방법을 문서화했습니다.

3. 이 취약점이 치명적인 이유

이 버그는 여러 고위험 특성을 가지고 있습니다:

• 인증 불필요 – 공격자는 네트워크 패킷을 보낼 수 있는 능력만 필요합니다.
• 사용자 상호 작용 없음 – 피해자는 링크를 클릭하거나, 파일을 열거나, 심지어 자리에도 있을 필요가 없습니다.
• 웜 가능성 – 성공적인 악용은 이론적으로 한 머신에서 다른 머신으로 자동으로 확산될 수 있습니다 (EternalBlue / WannaCry와 유사한 클래스).
• 기본 활성화된 IPv6 – 최신 Windows 시스템은 네트워크가 주로 IPv4를 사용하더라도 IPv6가 활성화되어 있습니다.
• 커널 모드 영향 – 결함은 tcpip.sys(Ring 0)에 있습니다. 성공적인 악용은 전체 시스템 제어 권한을 부여합니다.
• 복잡하지만 현실적인 공격 벡터 – 정확한 패킷 타이밍과 일괄 처리가 필요한 경쟁 조건으로, 숙련된 공격자에게 신뢰할 수 있는 악용이 사소하지 않지만 달성 가능합니다.

4. 기술적 근본 원인 (요약)

트리거 구성 요소

이 취약점은 두 개의 IPv6 확장 헤더의 조합으로 트리거됩니다:

1. Destination Options 헤더 (nh=60)
   잘못된 옵션 유형(otype > 0x80)을 포함합니다. 이로 인해 Windows가 ICMPv6 Parameter Problem 오류를 생성합니다.

2. Fragment 헤더 (nh=44)
   패킷이 손상된 후에도 IPv6 재조립 큐에 유지되도록 합니다.

공격 체인

1. 공격자는 인터리브된 잘못된 Destination Options 패킷과 IPv6 단편의 빠른 스트림을 보냅니다.
2. 패킷은 NDIS에 의해 단일 NET_BUFFER_LIST(NBL)로 일괄 처리됩니다.
3. Ipv6pProcessOptions가 잘못된 옵션을 감지하고 NBL을 IppSendErrorList에 전달합니다.
4. IppSendErrorList가 내부 플래그를 잘못 설정하고 동일한 NBL의 후속 패킷을 손상시켜 DataLength를 0으로 강제합니다.
5. Fragment 헤더 때문에 길이가 0인 패킷은 삭제되는 대신 재조립 큐에 계속 배치됩니다.
6. Ipv6pReceiveFragment는 페이로드 크기를 0 − HeaderSize로 계산하여 정수 언더플로(페이로드 길이가 약 4GB가 됨)를 발생시킵니다.
7. 작은 버퍼가 할당되지만(16비트 크기 계산이 잘림), RtlCopyMemory가 거대한 언더플로된 길이를 복사합니다 → 커널 힙 오버플로.
8. 결과: 블루 스크린(BSOD) 또는 오버플로를 정밀하게 제어할 경우 원격 코드 실행.

자세한 데이터 흐름 다이어그램과 함수 수준 분석은 전체 문서에서 확인할 수 있습니다.

5. 저장소 내용

세 개의 지원 파일을 저장소 루트에 배치(또는 경로 업데이트)하여 링크가 유지되도록 하세요.

6. 실습 안전 요구 사항

• 모든 테스트는 엄격히 격리된 가상 머신(Host-Only 또는 Internal 네트워크 전용)에서 수행하세요.
• 프로덕션 머신이나 인터넷 또는 기업 네트워크에 연결된 시스템을 절대 사용하지 마세요.
• 대상 Windows 시스템은 패치되지 않은 상태(2024년 8월 누적 업데이트 이전)로 유지해야 합니다.
• 대상에서 커널 디버깅을 활성화하세요(bcdedit /set debug on + 재부팅)하여 패킷 병합 신뢰성을 향상시킵니다.
• 실습 네트워크에서 Windows 방화벽을 비활성화하세요.
• 공격자와 대상 모두 일치하는 정적 IPv6 주소를 사용하세요(스크립트에 사용된 예시 값: 2001:db8::20 → 공격자, 2001:db8::10 → 대상).

전체 구성 단계, 문제 해결 매트릭스 및 정리 지침은 문서에 기록되어 있습니다.

7. 공식 패치

Microsoft는 2024년 8월 누적 업데이트의 일부로 수정 사항을 출시했습니다:

이 패치는 영향을 받는 코드 경로에 적절한 잠금을 도입하여 정수 언더플로와 경계를 벗어난 쓰기로 이어진 경쟁 조건을 제거합니다.

8. 면책 조항

이 저장소의 모든 자료(문서, 스크립트 및 비디오)는 교육 및 방어적 보안 연구 전용으로 제공됩니다.

• 소유하지 않거나 명시적 테스트 권한이 없는 시스템에 개념 증명 또는 설명된 기술을 사용하지 마세요.
• 프로덕션 또는 인터넷 연결 시스템에서 이러한 자료를 실행하는 것은 불법적이고 비윤리적입니다.
• 저자는 오용 또는 결과적 손해에 대해 책임을 지지 않습니다.

10. 참고 문헌

연구 팀

• Mayank
• Surya Prakash
• Hiba