CVE 데이터베이스CVE-2025-24993

최종 갱신 2026-09-24English Advisory →

CVE-2025-249937.8/HIGHCISA KEV 등재CWE-122

Windows NTFS 힙 기반 버퍼 오버플로우 취약점 (CVE-2025-24993) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, ntfs

권고문 발행일

2025-03-11

CVSS v3.1

7.8

HIGH

30일 악용확률

2.2%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows 운영체제 전반의 NTFS 파일 시스템 드라이버(ntfs.sys)를 사용하는 시스템

파급 효과

로컬 권한을 가진 공격자가 특수하게 조작된 NTFS 파일 시스템 메타데이터를 처리하도록 유도하여 커널 권한(SYSTEM)으로 임의 코드를 실행할 수 있습니다

권장 조치

Microsoft에서 제공하는 최신 누적 보안 업데이트를 즉시 적용하고, 신뢰할 수 없는 외부 저장 매체(USB 등) 및 디스크 이미지 마운트를 제한하십시오

영향받는 제품 및 버전 범위

Windows 10, Windows 11 및 Windows Server 전 버전에 포함된 NTFS 파일 시스템 드라이버

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 업데이트 가이드를 참조하여 최신 누적 업데이트(LCU)를 적용하십시오. Windows Update 에이전트를 통해 명령줄에서 즉시 패치를 다운로드하고 설치할 수 있습니다.

powershell

# Windows Update 모듈 설치 및 업데이트 확인/설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -KBArticleID KB5049228, KB5049232 -Install -AcceptAll -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 신뢰할 수 없는 가상 디스크 이미지(.iso, .vhd, .vhdx)의 자동 마운트를 차단하고, 외부 저장 매체 연결을 그룹 정책(GPO) 또는 레지스트리를 통해 제한합니다.

powershell

# ISO 및 VHD 파일의 기본 연결(마운트) 프로그램 연결 해제
Remove-ItemProperty -Path 'HKLM:\SOFTWARE\Classes\.iso' -Name 'PerceivedType' -ErrorAction SilentlyContinue
Remove-ItemProperty -Path 'HKLM:\SOFTWARE\Classes\.vhd' -Name 'PerceivedType' -ErrorAction SilentlyContinue
Remove-ItemProperty -Path 'HKLM:\SOFTWARE\Classes\.vhdx' -Name 'PerceivedType' -ErrorAction SilentlyContinue

# USB 저장 장치 설치 차단 레지스트리 설정
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR' -Name 'Start' -Value 4

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 ntfs.sys 파일의 버전을 확인하여 패치 적용 여부를 검증하고, 이벤트 로그에서 비정상적인 디스크 마운트 이력을 점검합니다.

powershell

# ntfs.sys 파일 버전 확인 스크립트
$NtfsPath = '$env:windir\System32\drivers\
tfs.sys'
$NtfsVersion = (Get-Item $NtfsPath).VersionInfo.FileVersion
Write-Host 'Current NTFS.sys Version:' $NtfsVersion

# 최근 가상 디스크 마운트 관련 이벤트 로그 조회 (Event ID 12 - VHDMP)
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-VHDMP'} -ErrorAction SilentlyContinue | 
Select-Object TimeCreated, Id, Message | Format-Table -AutoSize

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 악용되고 있으므로(CISA KEV 등재), 즉시 Windows 최신 누적 보안 패치를 적용하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-24993)은 Windows 커널의 핵심 구성 요소인 NTFS 파일 시스템 드라이버(ntfs.sys)에서 발생하는 힙 기반 버퍼 오버플로우(Heap-based Buffer Overflow, CWE-122) 취약점입니다. NTFS 파일 시스템이 디스크 볼륨의 메타데이터 구조체나 파일 속성 레코드를 파싱하는 과정에서, 입력 데이터의 크기 검증이 미흡하여 할당된 커널 풀(Kernel Pool) 메모리 영역을 초과하여 데이터를 쓰게 되는 현상이 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 조작된 NTFS 파일 시스템 구조(예: 비정상적인 크기 필드를 가진 MFT 레코드 또는 속성 리스트)를 포함하는 가상 디스크 이미지(.vhdx, .iso)를 생성하거나 USB 드라이브를 구성합니다. 사용자가 이 파일을 마운트하거나 시스템이 해당 볼륨을 자동으로 탐색 및 파싱하도록 유도할 경우, ntfs.sys 내부의 파싱 루틴이 실행되면서 커널 힙 영역에 오버플로우가 발생합니다. 이로 인해 인접한 커널 객체의 포인터가 덮어씌워져 최종적으로 로컬 권한 상승(LPE) 및 커널 레벨에서의 임의 코드 실행(RCE)으로 이어집니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용되고 있음이 확인되었습니다. 공격자가 시스템에 대한 일반 사용자 권한을 이미 획득한 상태에서 이 취약점을 연계 악용할 경우, 보안 솔루션(EDR/AV)을 무력화하고 커널 권한(SYSTEM)을 탈취하여 도메인 컨트롤러 장악, 랜섬웨어 유포, 지속성 확보(Persistence) 등 기업 인프라 전체에 치명적인 피해를 입힐 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Heap-based buffer overflow in Windows NTFS allows an unauthorized attacker to execute code locally.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24993

출처: secure@microsoft.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24993

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2025-24993)

FAQ

Q1. CVE-2025-24993 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-24993의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 2.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-24993에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, ntfs입니다. 상세 영향 범위: Windows 10, Windows 11 및 Windows Server 전 버전에 포함된 NTFS 파일 시스템 드라이버

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft에서 제공하는 최신 누적 보안 업데이트를 즉시 적용하고, 신뢰할 수 없는 외부 저장 매체(USB 등) 및 디스크 이미지 마운트를 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동