CVE-2025-62215 취약점 분석

Windows 커널 경쟁 상태(Race Condition) / 이중 해제(Double-Free) 권한 상승 취약점 조사 프로젝트입니다.

개요

항목	세부 정보
CVE	CVE-2025-62215
구성 요소	Windows 커널 (ntoskrnl.exe)
유형	경쟁 상태 (CWE-362) / 이중 해제 (CWE-415)
영향	로컬 권한 상승 → SYSTEM
CVSS 3.1	7.0 (HIGH) — `AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H`
패치	2025년 11월 패치 화요일
상태	CISA KEV 등록, 실제 환경에서 활발히 악용됨

프로젝트 구조

.
├── README.md                           # This file
├── CLAUDE.md                           # Project context for Claude Code
├── report.md                           # Comprehensive vulnerability report
├── analysis.md                         # Static analysis of public (fake) PoC
├── TODO.md                             # Next steps and research plan
├── poc/
│   ├── exploit.h                       # Common definitions & undocumented types
│   ├── exploit.cpp                     # PoC skeleton (correct APIs)
│   └── Makefile                        # MSVC (nmake) build config
└── docs/
    ├── binary-acquisition.md           # How to obtain ntoskrnl.exe binaries
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff analysis guide
    ├── detection-rules.md              # Sigma / Sysmon / ETW detection rules
    └── test-environment.md             # VM + WinDbg setup guide

주요 발견 사항

1단계: 취약점 연구

CVE-2025-62215는 2025년 11월 패치 화요일에 패치된 실제 취약점입니다
지원되는 모든 Windows 버전(10, 11, Server 2019/2022/2025)에 영향을 미칩니다
제로데이로 활발히 악용되었으며 CISA KEV에 등록되었습니다

1단계: 공개 PoC 분석

공개 PoC (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — 가짜/작동 불가
- 허구의 API(NtCreateKernelObject) 사용
- 사용자 모드 VirtualAlloc은 커널 풀을 스프레이할 수 없음
- 실제 권한 상승 메커니즘이 없음
- 악성코드/백도어 요소는 발견되지 않음

2단계: PoC 개발 (현재)

올바른 Windows 커널 API로 PoC 스켈레톤 구현
작동 구성 요소: 버전 확인, VM 탐지, NtDll 해석, 풀 그루밍, EPROCESS 누출
차단됨: 경쟁 상태 트리거에는 바이너리 분석(IDA Pro + BinDiff)이 필요함

다음 단계

패치 전/후 ntoskrnl.exe 확보 (docs/binary-acquisition.md 참조)
BinDiff로 패치된 함수 식별
poc/exploit.cpp에서 3단계(취약점 트리거) 완료
격리된 VM 환경에서 테스트 (docs/test-environment.md 참조)

빌드 (Windows)

# From VS Developer Command Prompt
cd poc
nmake
exploit.exe --check    # System check only

면책 조항

이 프로젝트는 교육 및 승인된 보안 연구 목적으로만 제공됩니다.

CVE-2025-62215_analysis

인기