CVE-2026-21509 — Microsoft Office 보안 기능 우회

• CVE-2026-21509는 Microsoft Office 보안 기능 우회 취약점입니다.
• CVSS 7.8, **APT28(러시아 해커)**이 우크라이나를 대상으로 적극적으로 악용 중입니다.
• 보안 결정에 신뢰할 수 없는 입력에 의존하는 문제(CWE-807) — "킬 비트(kill bit) 깨기"
• 악성 문서를 통해 보호된 보기(Protected View) 및 OLE 완화 조치를 우회할 수 있습니다.
• Office 2016, 2019, 2021, 2024, Microsoft 365 Apps에 영향을 줍니다.
• 2026년 1월 긴급 대역외(out-of-band) 패치가 발표되었습니다.

---

개요

CVE-2026-21509는 Microsoft Office의 보안 기능 우회 취약점으로, 공격자가 보호된 보기(Protected View)와 OLE(개체 연결 및 포함) 완화 조치를 우회할 수 있게 합니다. 이 결함은 Office가 킬 비트(kill bit)를 검증하는 방식에 뿌리를 두고 있습니다. 킬 비트는 위험한 CLSID를 차단하도록 설계된 레지스트리 메커니즘입니다. 변경된 CLSID가 포함된 조작된 OLE 개체를 제공하거나 활성화 컨텍스트를 조작함으로써, 공격자는 Office가 차단되었어야 할 포함된 컨트롤을 신뢰하도록 속일 수 있습니다.

---

기술 세부 사항

근본 원인: CWE-807 — 보안 결정에 신뢰할 수 없는 입력에 의존함. COM/OLE 개체에 대한 킬 비트 확인은 문서 수준의 재정의를 통해 공격자가 영향을 미칠 수 있는 데이터를 사용합니다. 구체적으로, 특정 Office 문서의 IDataObject 또는 IOleObject 구현은 킬 비트 조회를 공격자가 제어하는 레지스트리 경로로 리디렉션하거나 차단 목록을 완전히 우회하는 GUID를 제공할 수 있습니다.

공격 벡터:

1. 조작된 RTF 또는 DOCX 파일에 악성 OLE 개체(예: 셸 실행 COM 컨트롤)를 삽입합니다.
2. 파일을 열면 Office는 OLE 개체를 활성화하기 전에 킬 비트 레지스트리를 조회합니다.
3. 문서는 위조된 CLSID를 제공하거나 비표준 레지스트리 위치를 가리키는 OLE 동사/데이터 경로 항목을 통해 조회를 무력화합니다.
4. 예상 경로에서 킬 비트를 찾을 수 없으므로 Office는 제한 없이 컨트롤을 실행합니다.
5. 컨트롤은 공격자가 제공한 코드(예: MSHTA, PowerShell 또는 스크립트 엔진)를 실행합니다.

---

영향을 받는 버전

---

재현 단계

1. Windows 10/11 x64 테스트 환경에 영향을 받는 Microsoft Office 버전(위 표 참조)을 설치합니다.
2. 제공된 exploit.py를 사용하여 악성 문서를 생성합니다:
   root@kitploit:~

   python exploit.py --output malicious.doc --payload "calc.exe"
   

3. Office에서 생성된 파일을 엽니다. 보호된 보기가 우회되어야 하며 페이로드가 실행됩니다.
4. 패치 적용 후에는 동일한 파일이 차단되어야 합니다 — 수정 사항이 확인됩니다.

---

개념 증명

이 저장소의 exploit.py 스크립트는 다음과 같은 조작된 RTF/DOC 파일을 생성합니다:

• CLSID가 {0002DF01-0000-0000-C000-000000000046}(DHTML Edit Control — 일반적으로 무기화되는 컨트롤)로 설정된 OLE 개체를 삽입합니다.
• RTF의 \objdata 및 \object 그룹을 조작하여 활성화 중 킬 비트 조회를 우회합니다.
• 선택적으로 활성화 시 실행되는 스크립트 페이로드(PowerShell 또는 MSHTA)를 번들로 포함합니다.

⚠ 경고: 이 PoC는 공인된 보안 테스트용으로만 제공됩니다. 소유하지 않았거나 명시적 테스트 권한이 없는 시스템에 배포하지 마십시오.

---

완화 조치

• 2026년 1월 대역외 업데이트를 설치하십시오 — 이것이 유일한 완전한 수정입니다.
• KB5002711에 제공된 강화된 킬 비트 목록을 검토하고 적용하십시오.
• Office 하위 프로세스 생성을 위한 공격 표면 축소(ASR) 규칙을 활성화하십시오.
• Microsoft Defender for Office 365를 사용하여 알려진 악용 문서를 차단하는 것을 고려하십시오.
• 그룹 정책을 통해 OLE 개체 활성화를 제한하십시오: `컴퓨터 구성 > 관리 템플릿 > Microsoft Office

  보안 설정 > OLE 활성화 사용 안 함`.

---

참고 자료

• CVE-2026-21509 — MITRE
• CWE-807: 신뢰할 수 없는 입력에 대한 의존
• Microsoft 보안 대응 센터 — 2026년 1월 OOB 릴리스
• APT28 / Fancy Bear — 활동 개요