보안 연구팀 Theori는 Windows 커널의 네트워크 드라이버(afd.sys)에서 힙 오버플로우 결함을 찾아 CVE-2023-28218로 이어지는 연구를 2023년 Hexacon 컨퍼런스에서 발표했습니다. 취약점 자체는 흔한 정수 오버플로우형 버그지만, 연구팀이 주목받은 지점은 이 버그를 "우연이 아니라 매번" 터뜨리는 방법이었습니다. 사용자 메모리를 다루는 커널 코드 특유의 타이밍 문제를 이용해 신뢰도 높은 커널 권한 상승 경로를 완성했습니다.
보안 리서치 업체 NumenCyber가 실제 공격에서 이미 악용된 것으로 확인된 Windows 커널 취약점 CVE-2023-29336을 분석했습니다. 창(window) 객체는 참조 잠금을 걸었지만 그 안에 중첩된 메뉴 객체는 잠그지 않은 오래된 코드 습관이 원인으로, 해제된 메모리를 재사용하는 UAF(use-after-free, 해제 후 재사용) 취약점으로 이어졌습니다. Windows 11에서는 통하지 않는 것으로 보이지만 이전 버전에서는 여전히 실질적 위험으로 분석됐습니다.
보안 업체 Avast는 북한 연계 해킹 그룹 라자루스(Lazarus)가 실전에서 사용한 윈도우 커널 제로데이(개발사도 모르는 미공개 취약점)를 발견해 마이크로소프트에 신고했습니다. 이 취약점은 2024년 2월 정기 패치에서 CVE-2024-21338로 수정됐습니다. 눈에 띄는 건 취약점 자체보다 라자루스가 이걸 쓴 방식입니다 — 취약한 서명 드라이버를 따로 가져다 쓰는 기존 수법(BYOVD) 대신, 윈도우에 원래 있던 드라이버 하나의 결함만으로 관리자 권한을 커널 권한으로 바꿔치기했습니다.