Intune 사전 수정(Proactive Remediation) – Adobe Acrobat/Reader 버전 강제 적용 (CVE-2026-34621)

이 저장소는 Adobe Acrobat/Reader 취약점에 대한 노출을 줄이기 위한 Microsoft Intune 사전 수정(Proactive Remediation) 스크립트를 포함합니다:

1. 최소 패치 버전 강제 적용 (오래된 빌드 감지 및 제거)
2. 공격 표면 즉시 축소 – 정책 레지스트리 키를 통한 Acrobat/Reader JavaScript 비활성화

이러한 제어는 함께 사용할 수 있습니다:

• 단기 완화: 위험을 즉시 줄이기 위해 JavaScript 비활성화
• 장기 해결: 패치된 버전 강제 적용 (및 레거시 설치 제거)

---

존재 이유 (보안 맥락)

Adobe는 Acrobat 및 Reader에 대한 보안 업데이트를 발표하여 CVE‑2026‑34621을 해결했습니다. Adobe는 이 취약점이 실제 환경에서 악용되고 있다고 확인했으며, 임의 코드 실행으로 이어질 수 있습니다. Acrobat/Reader DC Continuous 트랙의 수정 버전은 26.001.21411입니다. 1

관리 환경에서는 최신 설치 프로그램이 제공되는 것만으로는 충분하지 않습니다. 장치에 여전히 이전 빌드가 실행 중일 수 있습니다. 이 저장소는 취약한 버전이 설치된 채로 남아 있지 않도록 보장하고, 노출을 즉시 줄이기 위한 추가 완화 조치(JavaScript 비활성화)를 제공합니다.

---

내용

A) 버전 강제 적용 (오래된 버전 감지 / 레거시 제거)

• Detect-AdobeAcrobat.ps1
• Remediate-AdobeAcrobat.ps1

B) 즉시 완화 (Acrobat/Reader DC에서 JavaScript 비활성화)

• DetectionJavaScript.ps1
• RemediateJavaScript.ps1

---

A) 버전 강제 적용 스크립트

1) 감지: Detect-AdobeAcrobat.ps1

목적: 정의된 최소 버전보다 낮은 Adobe Acrobat 설치를 감지합니다.

동작:

• 두 제거 레지스트리 하이브(64비트 및 32비트)를 확인합니다:
  • HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
  • HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall
• DisplayName이 Adobe Acrobat*와 일치하는 제품을 매칭합니다
• DisplayVersion을 다음 항목과 비교합니다:
  • 최소 버전: 26.001.21411 (CVE‑2026‑34621에 대한 패치 빌드) 1

종료 코드:

• 0 = 준수 (찾을 수 없음 또는 버전 >= 최소 버전)
• 1 = 비준수 (더 낮은 버전으로 발견됨)

2) 수정: Remediate-AdobeAcrobat.ps1

목적: 장치에서 발견된 Adobe Acrobat 설치(Reader/Pro/Standard)를 제거합니다.

동작:

• 두 제거 레지스트리 하이브에서 Adobe Acrobat* 항목을 찾습니다
• 다음을 통해 MSI 제품 GUID를 추출합니다:
  • UninstallString / QuietUninstallString 정규식 (권장)
  • 대체: 레지스트리 키 이름
• 다음을 실행합니다:
  • msiexec /x {GUID} /q /norestart
• 3010(재부팅 필요)을 성공으로 처리합니다

종료 코드:

• 0 = 수정이 성공적으로 완료됨
• 1 = 수정이 오류와 함께 완료됨

참고: 이 수정은 Acrobat을 제거합니다. 표준 Intune 애플리케이션 배포 프로세스를 통해 패치된 버전(또는 선호하는 지원 버전)도 배포해야 합니다.

---

B) 즉시 완화 스크립트 (JavaScript 비활성화)

Acrobat/Reader JavaScript를 비활성화하면 JavaScript 실행에 의존하는 악성 PDF 페이로드에 대한 노출을 줄일 수 있습니다. 이는 패치가 배포되는 동안 신속한 위험 감소 조치로 사용됩니다.

1) 감지: DetectionJavaScript.ps1

목적: Adobe Reader DC와 Adobe Acrobat DC 모두에서 JavaScript가 비활성화되었는지 확인합니다.

확인되는 레지스트리 키:

• HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown\bDisableJavaScript
• HKLM\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\bDisableJavaScript

예상 값:

• bDisableJavaScript = 1

종료 코드:

• 0 = 준수 (두 키가 모두 존재하고 1로 설정됨)
• 1 = 비준수 (키 누락 및/또는 1로 설정되지 않음)

2) 수정: RemediateJavaScript.ps1

목적: 정책 레지스트리 값을 설정하여 Reader와 Acrobat DC 모두에 JavaScript 비활성화를 강제 적용합니다.

동작:

• 레지스트리 경로가 없으면 생성합니다
• 다음을 설정합니다:
  • bDisableJavaScript (DWORD) = 1
• 오류가 있으면 1로 종료하고, 그렇지 않으면 0으로 종료합니다

---

권장 Intune 설정

옵션 1 (권장): 두 수정 모두 사용

1. 완화 패키지: JavaScript 비활성화 (공격 표면의 빠른 축소)
2. 패치 강제 적용 패키지: 버전 강제 적용 (레거시/취약한 설치 제거)

이 접근 방식은 패치된 버전이 모든 곳에 배포되도록 보장하면서 즉각적인 하드닝을 제공합니다.

구성 팁

• 스크립트를 시스템(System) 권한으로 실행합니다 (권장).
• 사고 대응 중에는 더 높은 빈도로 시작하고(예: 1~4시간마다), 이후 줄입니다.

---

운영 참고 사항 / 영향

JavaScript 비활성화는 기능에 영향을 줄 수 있음

일부 PDF 또는 엔터프라이즈 워크플로우(양식, 동적 콘텐츠, 포함된 스크립트)는 JavaScript에 의존할 수 있습니다. 광범위한 배포 전에 주요 사용자 그룹과 검증하세요.

제거 수정에는 MSI GUID가 필요함

Acrobat이 비-MSI 방식으로 설치된 경우 GUID 기반 제거가 실패할 수 있으며 다른 제거 전략이 필요할 수 있습니다.

---

참고 자료

• Adobe 보안 게시판: APSB26‑43 – CVE‑2026‑34621을 수정하는 Acrobat/Reader 업데이트 (26.001.21411에서 패치됨) 1

---

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다 — 자유롭게 사용, 수정 및 배포할 수 있습니다.

면책 조항
이 저장소는 일반적이고 공개된 모범 사례 스크립트를 포함합니다. 현재 또는 이전 고용주나 고객과 관련이 없습니다. 교육 및 커뮤니티 목적으로만 작성되었습니다.