CVE-2025-71326 AVAST Antivirus 서비스 경로 취약점 분석 및 대응 가이드

서론:

엔드포인트 보안의 핵심인 백신 소프트웨어 자체에서 권한 상승 취약점이 발견되었습니다. 2026년 6월 19일 공개된 CVE-2025-71326은 AVAST Antivirus 25.11 버전의 SecureLine 서비스에서 발견된 Unquoted Service Path 취약점으로, CVSS 8.5(HIGH) 등급으로 평가되었습니다.

이 취약점의 핵심은 백신 소프트웨어가 보호해야 하는 시스템을 공격자의 권한 상승 경로로 활용할 수 있다는 점입니다. 기업 환경에서 AVAST Antivirus를 널리 사용하는 상황에서, 이 취약점은 이미 침투한 공격자가 시스템 내에서 권한을 상승시키고 지속적인 액세스를 확보하는 데 사용될 수 있습니다.

본론:

1. CVE-2025-71326 취약점 개요 및 기술적 세부사항

CVE 식별자: CVE-2025-71326
CVSS 점수: 8.5 (HIGH)
CVSS v4 벡터: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
취약점 유형: CWE-428 (Unquoted Search Path or Element)
발견자: Milad Karimi (Ex3ptionaL)
영향받는 제품: AVAST Antivirus 25.11
영향받는 서비스: SecureLine VPN 서비스
취약성 공개일: 2026년 6월 19일

기술적 세부사항:
- 취약한 서비스 경로: C:\Program Files\AVAST Software\SecureLine\VpnSvc.exe
- 서비스 이름: SecureLine
- 서비스 계정: LocalSystem
- 시작 유형: 자동 시작 (AUTO_START)

문제의 핵심: 서비스 경로에 공백이 포함된 디렉터리 경로("Program Files")가 쌍따옴표("")로 감싸지지 않아, 윈도우 서비스 매니저가 경로를 해석할 때 공백을 구분자로 인식하는 문제가 발생합니다.

2. Unquoted Service Path 취약점의 원리와 악용 시나리오

원리:
윈도우 서비스 매니저는 따옴표로 감싸지지 않은 경로를 다음과 같이 해석합니다:

C:\Program Files\AVAST Software\SecureLine\VpnSvc.exe
↓
C:\Program.exe (실행 시도)
C:\Program Files\AVAST.exe (실행 시도)
C:\Program Files\AVAST Software\SecureLine.exe (실행 시도)
...

악용 시나리오:

1. 초기 접근:
2. 공격자가 일반 사용자 권한으로 시스템에 접근 (피싱, 제로데이, 다른 취약점 등)

3. 파일 시스템 쓰기 권한 있는 디렉터리 확인

4. 악성 파일 배치:
   

   echo [악성 코드] > C:\Program.exe
   또는
   echo [악성 코드] > "C:\Program Files\AVAST.exe"
   

5. 서비스 재시작 유도:

6. 시스템 재부팅, 서비스 재시작, 또는 예약된 업데이트 대기

7. 관리자의 정상적인 서비스 관리 작업

8. 권한 상승:

9. 서비스 시작 시 공격자의 악성 파일이 LocalSystem 권한으로 실행
10. SYSTEM 권한 획득 후 측면 이동, 지속성 확보, 데이터 탈취 등 악의적 활동 가능

3. 영향받는 AVAST Antivirus 버전 확인

확인된 취약 버전:
- AVAST Antivirus 25.11

의심되는 버전:
- 25.x 시리즈 초기 버전 (Vendor 권고 확인 필요)
- SecureLine VPN 컴포넌트가 포함된 모든 버전

버전 확인 방법:

방법 1: AVAST GUI 확인
1. AVAST Antivirus 열기
2. 메뉴 → 설정(⚙) → 일반 → 정보 클릭
3. 프로그램 버전 확인

방법 2: PowerShell 확인

Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -like "*Avast*"} | Select-Object Name, Version

방법 3: 레지스트리 확인

Get-ItemProperty "HKLM:\SOFTWARE\AVAST Software\Avast" | Select-Object Version

방법 4: 서비스 경로 확인 (취약성 진단)

sc qc SecureLine

4. 권한 상승 공격 가능성 분석

공격 난이도: 낮음 (LOW)
- 별도의 특별한 기술 없이 일반 사용자 권한으로 악용 가능
- 악성 파일 생성만 가능하면 공격 성공

공격 전제 조건:
1. 취약한 버전의 AVAST Antivirus 설치
2. 로컬 시스템 접근 권한 (일반 사용자 계정으로 충분)
3. 취약한 경로의 상위 디렉터리에 파일 쓰기 권한
4. 서비스 재시작 유도 가능 (시스템 재부팅 또는 서비스 관리 작업)

권한 상승 범위:
- 일반 사용자 → LocalSystem (SYSTEM 권한)
- SYSTEM 권한으로 수행 가능한 작업:
- 모든 파일 시스템 접근 및 수정
- 사용자 계정 생성 및 비밀번호 변경
- 추가 백도어 및 맬웨어 설치
- 감사 로그 삭제
- 다른 시스템으로 측면 이동(Lateral Movement)
- 인증서 및 암호화 키 탈취

실무적 위협 시나리오:

1. 랜섬웨어 공격 연계:
2. 초기 침투 후 SYSTEM 권한 획득
3. 네트워크 전파 및 데이터 암호화

4. 백업 시스템 파괴

5. 지속성 확보:

6. SYSTEM 권한으로 예약 작업 생성
7. 서비스 경로 악성 파일 유지 (백신 탐지 회피)

8. 레지스트리 시작 프로그램 등록

9. 자격 증명 탈취:

10. LSASS 메모리 덤프
11. SAM 데이터베이스 접근
12. 저장된 브라우저 비밀번호 탈취

5. 패치 적용 전 임시 완화책

⚠️ 중요: 임시 완화책은 패치 적용 시까지 일시적인 조치입니다. 가능한 한 빨리 공식 패치를 적용해야 합니다.

완화책 1: 서비스 경로 따옴표로 수정 (즉시 실행 권장)

1. 관리자 권한으로 실행된 CMD 또는 PowerShell 열기
2. 현재 서비스 구조 확인:
   

   sc qc SecureLine
   

3. 서비스 경로 수정 (수동):
   

   sc config SecureLine binPath= "\"C:\Program Files\AVAST Software\SecureLine\VpnSvc.exe\""
   

4. binPath= 뒤에 공백 필수

5. 전체 경로를 쌍따옴표로 감싸고, 앞뒤에 역슬래시 쌍따옴표(\") 사용

6. 수정 확인:
   

   sc qc SecureLine
   

7. 따옴표로 감싸진 경로인지 확인

8. 서비스 재시작:
   

   net stop SecureLine
   net start SecureLine
   

완화책 2: 서비스 시작 유형 수동으로 변경

1. 서비스 중지:
   

   net stop SecureLine
   

2. 시작 유형 변경:
   

   sc config SecureLine start= disabled
   

3. SecureLine VPN 기능이 필요 없는 경우에만 적용
4. VPN 사용 중인 경우 대안 VPN 솔루션 검토 필요

완화책 3: 취약 경로에 악성 파일 생성 방지

1. 취약 경로의 상위 디렉터리에 더미 파일 생성 및 권한 제한:
   

   type nul > C:\Program.exe
   icacls C:\Program.exe /deny Everyone:W
   

2. 실제 파일이 아닌 더미 파일이므로 서비스 시작 시 실패하지 않도록 주의

3. 단순히 파일 존재만으로는 취약성 해결 안 됨

4. 디렉터리 쓰기 권한 검토 및 제한:
   

   $acl = Get-Acl "C:\Program Files\AVAST Software"
   $acl.SetAccessRuleProtection($true, $false)
   Set-Acl "C:\Program Files\AVAST Software" $acl
   

5. 기존 권한 유지 필요 시 주의

완화책 4: 일반 사용자 권한 제한

1. 최소 권한 원칙 적용
2. 불필요한 관리자 권한 계정 사용 제한
3. 로컬 사용자 그룹 정기 검토

6. 장기적 보안 대응 전략

즉시 대응 (24시간 이내):

1. 취약성 스캔 및 인벤토리:
2. 전체 엔드포인트에서 AVAST 버전 확인 (자동화 스크립트 활용)

3. 취약 버전 설치된 장치 목록 작성

4. 우선순위 지정:

5. 인터넷 연결 장치, 서버, 관리자 장치 우선 패치

6. 중요 데이터 접근 가능한 시스템 우선

7. 임시 완화책 적용:

8. 패치 적용 전까지 서비스 경로 수정 조치 완료
9. 완화책 적용 여부 검증

단기 대응 (1주 이내):

1. 공식 패치 적용:
2. AVAST 보안 권고 확인 및 최신 버전 다운로드
3. 테스트 환경에서 패치 검증

4. 프로덕션 환경 단계적 배포

5. 보안 모니터링 강화:

6. 서비스 경로의 이상 파일 생성 시도 감지
7. 권한 상승 시도 로그 모니터링

8. SYSTEM 권한 의심 활동 탐지

9. 인시던트 대응 절차:

10. 침해 징후(IOC) 정의 및 배포
11. 잠재적 침해 시스템 포렌식 계획 수립

장기 대응 (1개월 이내):

1. 엔드포인트 보안 솔루션 재검토:
2. 백신 소프트웨어 보안 인증 검토
3. 벤더의 보안 개발 프로세스 평가

4. 대안 보안 솔루션 비교 평가

5. 보안 하드닝:

6. 모든 서비스 경로 따옴표 여부 정기 감사
7. Service Hardening 정책 수립 (서비스 계정 최소 권한)

8. 애플리케이션 화이트리스팅 도입

9. 자동화된 취약점 관리:

10. 취약점 스캐너 연동 및 자동화된 패치 관리
11. CVE 모니터링 시스템 구축

12. 패치 테스트 절차 표준화

13. 보안 인식 교육:

14. 개발자: Secure Coding 교육 (CWE-428 포함)
15. 관리자: 서비스 보안 구성 모범 사례
16. 사용자: 피싱 및 초기 침투 방지 교육

모범 사례 권고사항:

1. 서비스 경로 보안:
2. 모든 서비스 경로는 공백이 있든 없든 항상 따옴표로 감싸기

3. 경로에 공백이 없더라도 보안성을 위해 따옴표 사용 권장

4. 백신 소프트웨어 관리:

5. 주기적인 버전 확인 및 자동 업데이트 설정
6. 벤더 보안 권고 구독 및 모니터링

7. 테스트 → 스테이징 → 프로덕션 배포 프로세스 준수

8. 최소 권한 원칙:

9. 불필요한 서비스 비활성화
10. 서비스 실행 계정 필요시 LocalSystem 아닌 전용 계정 사용
11. 파일 시스템 권한 정기 검토

결론:

CVE-2025-71326은 백신 소프트웨어의 서비스 경로 구성 오류로 인한 고위험 권한 상승 취약점입니다. 비록 공격자가 이미 로컬 시스템에 접근해야 하지만, 권한 상승의 잠재적 영향은 매우 심각합니다.

기업 보안 담당자는 다음 우선순위로 대응해야 합니다:

1. 즉시: 취약 버전 확인 및 서비스 경로 따옴표 수정
2. 단기: 공식 패치 적용 및 보안 모니터링 강화
3. 장기: 엔드포인트 보안 체계 재검토 및 자동화된 취약점 관리 구축

백신 소프트웨어는 보안의 최전선에 있는 도구이므로, 도구 자체의 보안성은 무엇보다 중요합니다. 이 취약점은 소프트웨어 개발자와 보안 관리자 모두에게 "보안 도구 자체의 보안 검증"의 중요성을 다시금 상기시키고 있습니다.

대응 방안:

참고자료:

• CVE 상세: CVE-2025-71326 (NVD)
• VulnCheck 어드바이저리: https://www.vulncheck.com/advisories/avast-antivirus-unquoted-service-path-privilege-escalation
• Exploit-DB: https://www.exploit-db.com/exploits/52510
• AVAST 공식 홈페이지: https://www.avast.com/

본 콘텐츠는> 본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.