Unpatched Windows Search URI Vulnerability Lets Attackers Steal NTLMv2 Hashes

핵심 요약

Windows `search:` URI 핸들러의 미패치 취약점을 통해 공격자가 사용자의 NTLMv2 해시를 탈취할 수 있는 문제가 발견되었습니다. 이 취약점은 `ms-screensketch:` URI 핸들러의 CVE-2026-33829와 유사하게, 특정 URI 핸들러를 악용하여 강제 인증(Forced Authentication)을 유도하고 NTLMv2 해시를 노출시키는 방식으로 작동합니다. IT 감사인은 이러한 미패치 취약점이 조직의 중요 자산에 대한 무단 접근 및 추가적인 측면 이동(Lateral Movement)으로 이어질 수 있음을 인지하고, 관련 시스템의 보안 설정 및 패치 관리 현황을 긴급 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치Windows 운영체제 및 관련 애플리케이션에 대한 최신 보안 패치를 신속하게 적용하고, 벤더사에서 제공하는 완화 조치(예: 특정 URI 핸들러 비활성화 또는 제한)가 있다면 즉시 검토하여 적용해야 함을 권고함.
• ✔기술적 조치NTLMv2 해시 탈취 위험을 최소화하기 위해, 가능한 경우 NTLM 인증을 비활성화하고 Kerberos 또는 최신 인증 프로토콜로 전환하는 정책을 수립 및 시행할 것을 권고함.
• ✔기술적 조치엔드포인트 탐지 및 대응(EDR) 솔루션 및 SIEM 시스템의 탐지 규칙을 고도화하여, NTLMv2 해시 탈취 시도와 같은 비정상적인 인증 요청 및 관련 네트워크 트래픽을 실시간으로 모니터링하고 경고할 수 있도록 강화할 것을 권고함.
• ✔관리적 조치취약점 관리 프로세스를 강화하여, 미패치 취약점에 대한 정보 수집 채널을 확대하고, 신속한 위험 평가 및 대응 계획 수립을 위한 비상 절차를 마련할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격 및 피싱 공격에 대한 보안 교육을 강화하여, 의심스러운 링크 클릭이나 파일 실행을 통한 강제 인증 유도 공격에 대한 경각심을 높일 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문