마이크로소프트, 63개의 취약점 패치 발표 - 두 개의 적극적으로 악용되는 제로데이 포함

마이크로소프트는 화요일에 2025년 2월 패치 화요일을 발표했으며, 여기에는 63개의 보안 취약점이 포함되어 있습니다. 이 중 4개의 제로데이 취약점이 있으며, 그 중 2개는 실제로 악용되고 있고, 2개는 공개적으로 노출된 제로데이 취약점입니다.

63개의 취약점 중 3개는 치명적이며, 53개는 중요하고, 1개는 중간 정도의 심각성을 가지고 있습니다.

이러한 취약점은 Windows 및 Windows 구성 요소, Office 및 Office 구성 요소, Azure, Visual Studio, 원격 데스크톱 서비스 등 다양한 플랫폼에서 발생했습니다.

또한, “치명적”로 표시된 3개의 취약점은 2025년 2월 패치 화요일에서 수정되었습니다. 이 모든 것은 원격 코드 실행(RCE) 취약점으로, 악용될 경우 공격자가 장치에서 임의의 코드를 실행할 수 있게 됩니다.

더욱이, 마이크로소프트가 2025년 2월 패치 화요일 업데이트에서 해결한 실제로 악용되고 있는 두 개의 제로데이 취약점은 다음과 같습니다:

CVE-2025-21391 (CVSS 7.1) – Windows 저장소 권한 상승 취약점

이 Windows 저장소의 권한 상승(EoP) 취약점은 로컬 인증된 공격자가 시스템에서 특정 파일을 삭제할 수 있게 합니다.

“공격자는 시스템에서 특정 파일을 삭제할 수 있습니다. 이 취약점은 기밀 정보를 노출할 수는 없지만, 서비스가 사용할 수 없게 되는 데이터를 포함할 수 있는 데이터를 삭제할 수 있게 할 수 있습니다.”라고 마이크로소프트의 권고문에 적혀 있습니다.

이 취약점이 공격에서 어떻게 악용되었는지 또는 누가 보고했는지에 대한 세부 사항은 공개되지 않았습니다.

CVE-2025-21418 (CVSS 7.8) – Windows WinSock 보조 기능 드라이버 권한 상승 취약점

두 번째로 악용되는 취약점은 공격자가 조작된 프로그램을 실행하여 Windows에서 SYSTEM 권한을 얻을 수 있게 합니다.

이 취약점이 공격에서 어떻게 악용되었는지는 불확실하며, 마이크로소프트는 익명으로 공개되었다고 밝혔습니다.

또한, 2025년 2월 패치 화요일 업데이트에서 패치된 다른 두 개의 공개적으로 노출된 제로데이는 다음과 같습니다:

CVE-2025-21194 (CVSS 7.1) – 마이크로소프트 서피스 보안 기능 우회 취약점

마이크로소프트에 따르면, 이 하이퍼바이저 취약점은 공격자가 UEFI를 우회하고 서피스 장치의 보안 커널을 손상시킬 수 있게 합니다. 이는 PixieFail 취약점과 관련이 있을 가능성이 높습니다.

“이 하이퍼바이저 취약점은 통합 확장 가능 펌웨어 인터페이스(UEFI) 호스트 머신 내의 가상 머신과 관련이 있습니다. 특정 하드웨어에서는 UEFI를 우회할 수 있어 하이퍼바이저와 보안 커널이 손상될 수 있습니다.”라고 마이크로소프트의 권고문이 설명합니다.

이 기술 대기업은 이 취약점을 발견하고 보고한 Quarkslab의 Francisco Falcón과 Iván Arce에게 공로를 인정했습니다.

CVE-2025-21377 (CVSS 6.5) – NTLM 해시 노출 스푸핑 취약점

이 취약점은 Windows 사용자의 NTLM 해시를 노출시켜 원격 공격자가 최소한의 파일 상호작용을 통해 Windows 사용자 해시를 훔치고 잠재적으로 사용자로 로그인할 수 있게 합니다.

“사용자가 악성 파일과 최소한의 상호작용을 하는 경우(단일 클릭 선택, 오른쪽 클릭 검사 또는 파일을 열거나 실행하는 것 외의 작업 수행) 이 취약점이 발생할 수 있습니다.”라고 마이크로소프트의 권고문이 설명합니다.

마이크로소프트는 이 취약점을 발견한 Cathay Pacific의 Owen Cheung, Ivan Sheung, Vincent Yau, Securify B.V.의 Yorick Koster, ACROS Security의 0patch의 Blaz Satler에게 공로를 인정했습니다.

2025년 2월 패치 화요일 보안 업데이트를 설치하려면 설정 > 업데이트 및 보안 > Windows 업데이트로 이동하여 업데이트 확인 버튼을 클릭하십시오.

마이크로소프트가 2025년 2월 패치 화요일 보안 업데이트에서 해결한 취약점의 전체 목록은 여기에서 확인할 수 있습니다.