CVE 데이터베이스CVE-2025-22224

최종 갱신 2026-06-17English Advisory →

CVE-2025-222248.2/HIGHCISA KEV 등재CWE-367CWE-367

VMware ESXi 및 Workstation TOCTOU 기반 경계 외 쓰기 취약점 (CVE-2025-22224) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

esxi, workstation

권고문 발행일

2025-03-04

CVSS v3.1

8.2

HIGH

30일 악용확률

1.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware ESXi 및 Workstation 제품군

파급 효과

게스트 OS의 로컬 관리자 권한을 가진 공격자가 호스트의 VMX 프로세스 권한으로 임의 코드를 실행하고 가상화 하이퍼바이저 환경을 탈출할 수 있습니다

권장 조치

Broadcom 공식 보안 권고를 참조하여 최신 패치 버전을 적용하고 가상 머신 내 관리자 권한 통제를 강화하십시오

영향받는 제품 및 버전 범위

VMware ESXi 및 Workstation 제품군 (상세 영향 버전 및 패치 버전은 Broadcom 공식 권고 문서 VMSA-2025-0001 등 참조 요망)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Broadcom 지원 포털을 통해 제공되는 최신 ESXi 패치 번들을 다운로드한 후, ESXi 호스트를 유지보수 모드로 전환하고 아래 명령어를 통해 패치를 적용하십시오.

bash

# ESXi 호스트를 유지보수 모드로 전환
esxcli system maintenanceMode set --enable true

# Broadcom에서 다운로드한 누적 패치 프로파일 적용 (예시 프로파일 명칭 사용)
esxcli software profile update -p ESXi-8.0U2c-23825349-standard -d /vmfs/volumes/datastore1/patches/ESXi800-202403001.zip

# 패치 적용 완료 후 호스트 재부팅
reboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, 게스트 OS 내부의 관리자 권한(Administrator/Root)을 가진 사용자가 하이퍼바이저 인터페이스에 접근하는 것을 최소화해야 합니다. 가상 머신 설정 파일(.vmx)에서 불필요한 가상 디바이스 및 공유 기능을 비활성화하십시오.

bash

# 가상 머신 설정 파일(.vmx)에서 불필요한 기능 비활성화 예시
# VM 전원을 종료한 상태에서 아래 설정을 추가하여 격리 강화
isolation.tools.copy.disable = 'true'
isolation.tools.paste.disable = 'true'
isolation.tools.setGUIOptions.enable = 'false'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

ESXi 호스트의 VMX 프로세스 비정상 종료 로그 및 코어 덤프 생성 여부를 주기적으로 점검하십시오. 아래 스크립트를 통해 호스트의 현재 빌드 버전을 확인하고 취약한 버전인지 대조할 수 있습니다.

bash

# ESXi 호스트 버전 및 빌드 번호 확인
vmware -v

# VMX 프로세스 관련 비정상 종료 로그(Crash Log) 검색
grep -i 'panic' /var/log/vmware/hostd.log
grep -i 'exception' /var/log/vmkernel.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

본 취약점은 실제 공격에 악용되고 있는 KEV 등재 항목이므로, 신속히 Broadcom 공식 패치를 적용하고 가상 머신의 관리자 권한을 엄격히 통제하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-22224)은 VMware ESXi 및 Workstation에서 발생하는 TOCTOU(Time-of-Check Time-of-Use, 검사 시점과 사용 시점의 불일치) 경쟁 조건(Race Condition) 취약점입니다. 하이퍼바이저가 게스트 OS로부터 전달받은 특정 메모리 버퍼나 매개변수를 검증하는 시점(Check)과 실제 이를 메모리에 쓰는 시점(Use) 사이에 데이터가 변경되어, 검증 단계를 우회하고 메모리 경계 외 영역에 데이터를 기록하는 Out-of-bounds Write가 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 가상 머신(Guest OS) 내부에서 로컬 관리자(Administrative) 권한을 확보해야 합니다. 이후 공유 메모리 영역 또는 가상 디바이스 인터페이스를 통해 하이퍼바이저로 요청을 전송합니다. 하이퍼바이저가 요청의 유효성(크기, 범위 등)을 검사한 직후, 실제 쓰기 작업이 수행되기 전의 극히 짧은 시간 차이를 노려 메모리 값을 조작합니다. 이로 인해 하이퍼바이저는 검증되지 않은 크기나 주소로 쓰기 작업을 수행하게 되며, 결과적으로 호스트 OS에서 실행 중인 해당 가상 머신의 VMX 프로세스 컨텍스트 내에서 임의 코드를 실행(Sandbox Escape)할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 위협 행위자들에 의해 악용되고 있는 고위험군 취약점입니다. 성공적으로 익스플로잇될 경우 단일 가상 머신의 침해가 물리적 호스트 전체 및 동일 호스트 상의 다른 가상 머신들로 확산되는 '하이퍼바이저 탈출'로 이어집니다. 이는 멀티테넌트 클라우드 환경이나 엔터프라이즈 가상화 인프라에서 데이터 유출, 서비스 중단, 인프라 장악 등 치명적인 비즈니스 중단을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

VMware ESXi, and Workstation contain a TOCTOU (Time-of-Check Time-of-Use) vulnerability that leads to an out-of-bounds write. A malicious actor with local administrative privileges on a virtual machine may exploit this issue to execute code as the virtual machine's VMX process running on the host.

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25390

출처: security@vmware.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-22224

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2025-22224)

FAQ

Q1. CVE-2025-22224 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-22224의 기본 점수는 CVSS 8.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 1.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-22224에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 esxi, workstation입니다. 상세 영향 범위: VMware ESXi 및 Workstation 제품군 (상세 영향 버전 및 패치 버전은 Broadcom 공식 권고 문서 VMSA-2025-0001 등 참조 요망)