CVE-2026-85884: WPAD LPAC 및 WHESVC 권한 상승

요약

Windows 특권 경계 취약성은 Windows Health 및 Optimized Experiences 서비스(whesvc)와 Windows Diagnostics Lua 엔진에 영향을 미칩니다. 낮은 특권 또는 WPAD LPAC 코드를 실행하는 공격자는 신뢰할 수 있는 ETW 워크플로 이벤트를 트리거하여 임의의 Lua 모듈을 로드하고 실행할 수 있습니다. 성공적인 악용은 시스템 계정으로 로컬 특권 상승을 가능하게 합니다.

조사

연구에 따르면 LocalSystem 서비스는 이벤트 생성자를 충분히 검증하지 않거나 Lua 모듈을 로드할 수 있는 위치를 제한하지 않고 ETW 이벤트를 처리합니다. 개념 증명에는 워크플로를 트리거하기 위해 PowerShell 스크립트를 사용하며, cmd.exe를 통해 whoami.exe를 실행하여 시스템 수준 특권으로의 성공적인 실행을 확인합니다.

완화 방안

사용자는 CVE-2026-85884에 대해 Microsoft Security Response Center(MSRC) 업데이트 가이드를 참조하고 관련 보안 패치를 적용해야 합니다. 최소 특권 원칙을 적용하고 whesvc와 관련된 비정상적인 ETW 이벤트 활동을 모니터링하면 추가적인 방어 범위를 제공할 수 있습니다.

대응

허가되지 않은 LocalSystem 서비스 활동이나 whesvc 워크플로를 포함한 의심스러운 PowerShell 실행이 감지되면 조직은 영향을 받은 호스트를 격리해야 합니다. Microsoft.Windows.Diagnostics.Lua 이벤트의 비정상적인 ETW 텔레메트리를 검토하고 Lua 모듈에서 허가되지 않았거나 예상치 않은 수정 사항을 검사해야 합니다.

시뮬레이션 실행

• 공격 서술 및 명령어: 공격자는 워크스테이션에 초기 액세스를 획득하고 취약점을 식별했습니다 whesvc 서비스. 특권을 상승시키기 위해 SYSTEM공격자는 이름이 Invoke-WhesvcToSystem.ps1인 스크립트를 다운로드합니다. 공격자는 이 스크립트를 사용하여 실행합니다 powershell.exe 다음의 -ExecutionPolicy Bypass 플래그를 사용하여 로컬 보안 제한을 우회합니다. 악용이 실행되면 공격자는 즉시 실행합니다 whoami /user 그들이 표준 사용자 컨텍스트에서 성공적으로 전환되었음을 확인하기 위해 NT AUTHORITYSYSTEM 의 컨텍스트. 이 시퀀스는 규칙에 제공된 특정 탐지 서명과 일치하도록 설계되었습니다.

• 회귀 테스트 스크립트:

  # 1. 명령줄 검사를 충족하기 위해 악용 스크립트의 더미 버전을 만듭니다
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. 탐지 로직에 정의된 대로 명령 실행
  # 이것은 규칙을 트리거해야 합니다
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. 보조 탐지 트리거 실행 (whoami /user)
  cmd.exe /c "whoami /user"

• 정리 명령어:

  # 시뮬레이션된 악용 스크립트 제거
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force