CVE-2021-34527 (PrintNightmare): 프린터 드라이버 관리 기능이 만든 권한 상승

취약점 개요

• CVE-ID: CVE-2021-34527 ("PrintNightmare")
• 공개일: 2021-07-01 / CVSS 3.1: 8.8
• 영향 제품: Windows Print Spooler 서비스(spoolsv.exe)
• 취약점 유형: RPC 함수의 권한 검증 미흡 + 정책 설정 결함 → 임의 DLL 로드를 통한 SYSTEM 권한 코드 실행
• 한 줄 요약: SYSTEM 권한으로 도는 스풀러 서비스의 RpcAddPrinterDriverEx()가 낮은 권한 사용자의 "드라이버 설치" 요청에서 관리자 권한 확인과 파일 출처 검증을 제대로 하지 않아, 임의 원격 경로의 DLL을 그대로 로드해 실행한다.

패치 분석

패치는 (1) 드라이버 설치 요청에 대한 권한 상승 없는 우회 플래그 조합 차단, (2) SPLREG_COPY_FILES_POLICY 기본값을 신뢰된 경로로만 복사가 이뤄지도록 강화, 두 지점으로 요약된다.

1) RpcAddPrinterDriverEx() — 권한 검증 우회 플래그

Before

DWORD RpcAddPrinterDriverEx(handle, DRIVER_CONTAINER *driver, DWORD flags) {
    if (flags & APD_INSTALL_WARNED_DRIVER) {
        // "이미 검증된 드라이버"로 간주 — 관리자 권한 재확인을 건너뜀
        goto InstallDriver;
    }
    if (!IsAdmin(handle)) return ERROR_ACCESS_DENIED;
InstallDriver:
    return CopyDriverFilesAndInstall(driver);
}

특정 플래그 조합(APD_INSTALL_WARNED_DRIVER 등)이 세팅되면 관리자 권한 확인 분기를 아예 건너뛰는 경로가 존재했다.

After

DWORD RpcAddPrinterDriverEx(handle, DRIVER_CONTAINER *driver, DWORD flags) {
    // 우회 플래그 조합과 무관하게 항상 관리자 권한을 재검증
    if (!IsAdmin(handle)) return ERROR_ACCESS_DENIED;
    if (!IsTrustedDriverSource(driver->szDriverPath)) return ERROR_ACCESS_DENIED;
    return CopyDriverFilesAndInstall(driver);
}

플래그 값과 무관하게 권한 검사를 강제하고, 드라이버 파일의 출처(경로)를 검증하는 로직이 추가됐다.

2) SPLREG_COPY_FILES_POLICY — 신뢰되지 않은 경로 복사 허용

Before

if (policy == COPY_FILES_ALLOW_ANY) {
    CopyFile(driver->szDriverPath, LOCAL_DRIVER_DIR);  // UNC 경로 등 임의 출처 허용
}

After

if (policy == COPY_FILES_RESTRICTED && !IsLocalOrSignedSource(driver->szDriverPath)) {
    return ERROR_ACCESS_DENIED;  // 기본 정책을 제한 모드로 강화
}

재현 결과 (공격 흐름)

1. 낮은 권한 도메인 계정으로 대상 시스템(스풀러 서비스가 켜진 서버, 특히 도메인 컨트롤러)에 RPC 접속
2. RpcAddPrinterDriverEx()를 호출하며 공격자가 통제하는 SMB 공유 경로의 DLL과, 검증 우회 플래그 조합을 파라미터로 전달
3. 패치 전 스풀러(SYSTEM 권한)가 검증 없이 수락 → DLL을 로컬 드라이버 디렉터리로 복사
4. 스풀러가 이 DLL을 자기 프로세스 컨텍스트로 로드 — 로드 시점에 DLL의 초기화 루틴이 SYSTEM 권한으로 실행
5. 도메인 컨트롤러가 대상이었다면 곧바로 도메인 관리자 권한에 준하는 지속성 확보로 이어짐

영향 및 체이닝

• 로컬 권한 상승 → 원격 코드 실행으로 확장: 스풀러 RPC 인터페이스가 네트워크로도 노출되어 인증된 원격 사용자도 동일 경로로 SYSTEM 코드 실행이 가능했다
• 도메인 컨트롤러 장악: DC에서 뚫리면 AD 전체 관리 권한으로 직결 — 낮은 권한 계정 하나만 확보해도 전체 인프라 장악까지 이어지는 최단 경로 중 하나
• Active Directory 침투 방법론 글에서 다루는 "낮은 권한 → 도메인 관리자" 킬체인의 대표적인 단축 경로로 취급된다

참고자료

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-34527
• Microsoft Security Update Guide (KB5004945 계열)