CVE-2025-24990 — Windows 신뢰할 수 없는 포인터 역참조 (EoP)

Sentinel AI Defense의 연구 분석 자료입니다. 방어적 분석 전용 — 작동하는 익스플로잇이나 PoC는 공개되지 않습니다.

권한 있는 Windows 구성 요소가 신뢰할 수 없는 컨텍스트에서 받은 포인터를 검증 없이 역참조하여 낮은 권한의 공격자에게 임의 메모리 접근과 SYSTEM으로 가는 확실한 경로를 제공합니다. 2025년 실제 공격 환경에서 악용되었습니다.

📄 전체 분석 문서: https://sentinelaidefense.com/posts/cve-2025-24990-windows-untrusted-pointer.html

---

개요

CVE-2025-24990은 Microsoft Windows의 신뢰할 수 없는 포인터 역참조 취약점입니다. 공격자는 신뢰할 수 없는 소스에서 받은 포인터의 부적절한 검증을 악용하여 권한을 상승시키거나 임의 코드를 실행할 수 있습니다.

이 결함은 2025년에 실제 공격 환경에서 적극적으로 악용되었으며 CISA KEV 카탈로그에 추가되었습니다. 로컬 권한 상승 시나리오에서 자주 사용되며 더 넓은 영향을 위해 다른 취약점과 연쇄적으로 활용될 수 있습니다. Microsoft의 2025년 보안 업데이트에서 패치되었습니다.

영향을 받는 버전

다음의 다양한 에디션에 영향을 줍니다:

• Windows 10
• Windows 11
• Windows Server (2016–2025 빌드)

이 취약점은 일반적으로 신뢰할 수 없는 입력을 처리하는 핵심 Windows 구성 요소(커널 또는 시스템 서비스)에 존재합니다.

기술적 분석 (근본 원인)

근본 원인은 사용자 모드 또는 기타 신뢰할 수 없는 컨텍스트에서 더 높은 권한의 구성 요소(예: 커널)로 전달되는 포인터의 부적절한 검증입니다. 시스템이 이 포인터를 적절한 검사 없이 역참조하면 공격자가 메모리 접근을 통제할 수 있으며, 이는 임의 읽기/쓰기 프리미티브 또는 상승된 컨텍스트에서의 직접적인 코드 실행으로 이어질 수 있습니다.

이러한 유형의 버그(신뢰할 수 없는 포인터 역참조)는 Windows에서 권한 상승 및 정보 공개의 일반적인 원인입니다.

공격 체인

1. 공격자는 낮은 권한 수준에서 초기 코드 실행 권한을 확보합니다(예: 피싱, 악성 문서 또는 기존 발판을 통해).
2. 취약한 구성 요소에 조작된 포인터를 전달하여 취약점을 트리거합니다.
3. 더 높은 권한 수준(종종 SYSTEM)에서 임의 메모리 접근 또는 코드 실행을 달성합니다.
4. 자격 증명 덤프, 측면 이동 또는 랜섬웨어 배포 등의 추가 작업을 수행합니다.

전체 시스템 장악을 위해 브라우저 또는 애플리케이션 익스플로잇과 함께 자주 사용됩니다.

탐지 지침

• 의심스러운 권한 상승 이벤트 또는 비정상적인 커널 모드 활동이 있는지 Windows 보안 로그를 모니터링합니다.
• 포인터 처리와 관련된 시스템 프로세스의 충돌 또는 이상 징후를 찾아보십시오.
• EDR 도구는 빠른 메모리 작업 시퀀스 또는 사용자 모드에서 커널 구조에 접근하려는 시도를 플래그로 표시해야 합니다.
• 행동 지표: 사용자 모드 활동 이후 예기치 않은 SYSTEM 수준 프로세스 생성.

침해 지표

• 취약한 Windows 구성 요소를 대상으로 하는 특정 익스플로잇 패턴(익스플로잇 키트에서 자주 관찰됨).
• 사후 악용 아티팩트: LSASS 덤프, 새로운 권한 있는 계정 또는 비정상적인 드라이버 로드.
• 2025년 캠페인과 관련된 알려진 익스플로잇 도구 또는 페이로드의 해시.

완화 조치

• 2025년 Microsoft 보안 업데이트 설치(특히 이 CVE를 해결하는 업데이트).
• HVCI(Hypervisor-protected Code Integrity), Credential Guard, Kernel Data Protection과 같은 고급 Windows 완화 기능을 활성화합니다.
• 최소 권한 원칙과 애플리케이션 제어(예: AppLocker 또는 WDAC)를 사용합니다.
• 권한 상승에 대한 동작 기반 규칙으로 EDR 솔루션을 최신 상태로 유지합니다.

이 취약점은 신뢰할 수 없는 포인터 문제가 SYSTEM 접근을 노리는 공격자에게 여전히 확실한 벡터로 남아 있기 때문에 적시 패치와 현대적인 Windows 보안 기능의 중요성을 강조합니다.

참고 자료

• CVE-2025-24990에 대한 Microsoft MSRC 권고
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24990
• CISA 알려진 악용 취약점 카탈로그

고지 사항

이 저장소는 방어 및 교육 목적으로만 게시됩니다. 분석, 탐지 로직 및 완화 지침을 포함하며 기능적인 익스플로잇 코드는 제공되지 않습니다. 이 정보는 테스트하고 방어할 권한이 있는 시스템에서만 사용하십시오.

---

_{Sentinel AI Defense가 유지 관리 · 조정된 공개에 따라 책임감 있게 공유된 발견 사항입니다.}