MS 그림판, 클릭 없이 원격 코드 실행 가능한 취약점 발견

Windows Paint(그림판)에서 인증이나 사용자 조작 없이 원격 코드 실행이 가능한 취약점이 공개됨. Microsoft는 영향을 받는 서비스에 특수하게 조작된 패킷을 보내 공격할 수 있다고 밝힘 취약점은 CVE-2026-83844, CVSS 3.1 기준 8.1점(HIGH) 이며, 메모리의 허용 범위를 벗어나 읽는 오류에서 발생함 공격 성공 시 기밀성, 무결성, 가용성에 모두 큰 영향을 줄 수 있지만, 시스템 환경과 구성 등에 따라 성공 여부가 달라져 공격 복잡도는 높음으로 평가됨 CVE 기록과 현재 Microsoft 공지의 버전 정보가 다름. CVE에는 11.2605.91.0 미만이 영향 대상으로 남아 있지만, 현재 보안 공지는 수정 빌드를 11.2609.401.0으로 안내함 공지된 수정 버전을 Microsoft Store에서 찾지 못했다는 사용자 보고도 있음. 그림판의 실제 설치 버전과 Store 앱 업데이트를 확인할 필요가 있음 그림판에서 사용자 조작 없는 원격 코드 실행 Microsoft 보안 공지의 FAQ는 인증되지 않은 공격자가 네트워크로 조작된 패킷을 전송해 대상 시스템에서 코드를 실행할 수 있다고 명시함 인증과 사용자 상호작용이 필요하지 않으므로, 공격이 성립하는 환경에서는 사용자의 클릭을 유도하는 단계가 필요하지 않음 원인은 CWE-125: Out-of-bounds Read로 분류됨. 프로그램이 읽어야 할 메모리 버퍼의 시작이나 끝을 넘어 데이터를 읽는 오류임 공개 공지에는 구체적인 서비스, 포트나 전체 공격 과정이 제시되지 않아, 실제 노출 조건을 세부적으로 판단할 정보는 제한적임 심각도와 실제 악용 상태 CVSS 기본 점수는 8.1점, Microsoft 자체 심각도 분류는 Important임 공격에는 사전 권한이 필요하지 않으며, 기밀성, 무결성, 가용성의 영향은 모두 높음으로 평가됨 Microsoft는 성공적인 악용에 대상 시스템에 대한 깊은 이해가 필요하고, 환경, 시스템 구성, 추가 보안 조치 등 여러 조건이 영향을 준다고 설명함 최초 공지 당시의 평가는 실제 악용 없음, 악용 가능성 낮음임. 사용자 조작이 필요 없다는 특성과 공격 성공이 쉽다는 것은 구분해야 함 추가 확인 - 수정 버전 표기와 배포 혼선 취약점은 2026년 10월 13일 공개됐으며, 11월에 처음 발견된 문제는 아님 CVE 공식 기록에는 11.0.0.0 이상, 11.2605.91.0 미만이 영향 대상으로 등록돼 있...