TrendAI Research는 Microsoft의 WARP & MORSE 팀이 처음 발견한 Windows Internet Key Exchange (IKE) 서비스의 CVE-2026-33824, 이중 해제 취약점을 확인했습니다. 이 결함은 IKEv2의 조각 처리 과정에서 발생하며, IKEEXT 서비스의 충돌 또는 임의 코드 실행으로 이어질 수 있습니다. 이 취약점은 ikeext.dll 내에서 IKEv2 조각 재조립 중 힙에 할당된 blob 포인터의 부적절한 소유권 처리에서 비롯됩니다. IKE_SA_INIT 교환 중 Security Realm Vendor ID 페이로드는 IkeHandleSecurityRealmVendorId()가 MMSA 구조에 저장된 blob을 할당하도록 합니다. 조각화된 IKE_AUTH 메시지가 재조립될 때, IkeReinjectReassembledPacket은 이 blob 포인터를 로컬 스택 구조로 얕게 복사합니다. 이 구조는 IkeQueueRecvRequest에 의해 힙에 할당된 작업 항목으로 얕게 복사됩니다. 첫 번째 해제는 IkeDestroyPacketContext가 작업 항목을 처리하고 이 얕게 복사된 blob 포인터를 해제할 때 발생합니다. MMSA 구조는 여전히 동일한 할당에 대한 원래 포인터를 가지고 있습니다. 두 번째 해제는 IkeCleanupMMNegotiation을 통해 MMSA가 정리될 때 발생하며, 결국 IkeFreeMMSA를 트리거하여 이미 해제된 할당을 해제하려고 시도합니다. 인증되지 않은 원격 공격자는 특수하게 조작된 IKE_SA_INIT 메시지를 보낸 다음 유효하지 않은 IKE_AUTH 메시지를 포함하는 두 개 이상의 암호화된 조각 페이로드를 전송하여 이를 악용할 수 있습니다. 탐지에는 특정 IKE_SA_INIT 시퀀스 (Microsoft Security Realm Vendor ID 포함)와 특정 바이트 시퀀스를 포함하는 조각화된 IKE_AUTH 요청에 대해 UDP 포트 500 및 4500을 모니터링해야 합니다. Microsoft는 2026년 4월에 이 취약점을 패치했으며, 임시 완화 조치로 UDP 포트 500 및 4500에서 인바운드 트래픽을 차단하거나 알려진 피어 주소로 트래픽을 제한할 것을 권장했습니다. 공급업체의 업데이트를 적용하는 것이 유일한 완전한 해결책입니다.