CVE 데이터베이스CVE-2025-41244

최종 갱신 2026-10-18English Advisory →

CVE-2025-412447.8/HIGHCISA KEV 등재CWE-267

VMware Tools 및 Aria Operations 로컬 권한 상승(LPE) 취약점 보안 권고 (CVE-2025-41244)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware, broadcom

대상 컴포넌트 / 패키지

aria_operations, vmware_tools

권고문 발행일

2025-09-29

CVSS v3.1

7.8

HIGH

30일 악용확률

8.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

SDMP(Service Discovery Management Pack)가 활성화되고 Aria Operations에 의해 관리되는 가상머신(VM) 내의 VMware Tools 설치 환경

파급 효과

비관리자 권한을 가진 로컬 공격자가 취약점을 악용하여 해당 가상머신 내에서 root 권한으로 상승할 수 있습니다

권장 조치

Broadcom 공식 보안 권고에 따라 VMware Tools 및 Aria Operations를 최신 패치 버전으로 즉시 업데이트하십시오

영향받는 제품 및 버전 범위

VMware Aria Operations에 의해 관리되고 SDMP(Service Discovery Management Pack)가 활성화된 환경에서 실행되는 VMware Tools 설치 가상머신

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Broadcom 공식 권고에 따라 VMware Tools 및 Aria Operations를 최신 안전한 버전으로 업그레이드하십시오. Linux 환경에서 패키지 관리자를 통해 VMware Tools(open-vm-tools)를 업데이트하는 명령어는 다음과 같습니다.

bash

# Debian/Ubuntu 계열 시스템 업데이트
sudo apt-get update
sudo apt-get --only-upgrade install open-vm-tools -y

# RHEL/CentOS/Rocky Linux 계열 시스템 업데이트
sudo yum update open-vm-tools -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Aria Operations에서 SDMP(Service Discovery Management Pack) 기능을 비활성화하거나 관련 서비스를 중지하여 공격 표면을 제거하십시오.

bash

# Linux VM 내에서 SDMP 관련 서비스 상태 확인 및 중지
sudo systemctl stop sdmp-service 2>/dev/null || true
sudo systemctl disable sdmp-service 2>/dev/null || true

# 비특권 사용자의 로컬 로그인 및 SSH 접근을 엄격히 제한
sudo usermod -s /usr/sbin/nologin [suspect_user]

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 VMware Tools 버전 및 SDMP 활성화 여부를 점검하고, 비정상적인 권한 상승 시도를 모니터링하는 스크립트입니다.

bash

# VMware Tools 버전 확인
vmware-toolbox-cmd -v

# 시스템 인증 로그에서 비정상적인 sudo/su 권한 상승 시도 감사
grep -E 'sudo:.*TTY=.*USER=root' /var/log/auth.log /var/log/secure 2>/dev/null | tail -n 20

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV에 등재되어 실제 악용 중인 취약점이므로, SDMP 기능을 사용하는 가상머신의 VMware Tools를 즉시 최신 버전으로 패치하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-41244)은 VMware Aria Operations에 의해 관리되고 SDMP(Service Discovery Management Pack)가 활성화된 가상머신(VM) 내의 VMware Tools 구성 요소에서 발생하는 로컬 권한 상승(LPE) 취약점입니다. 권한 정의가 부적절하게 설정된 CWE-267(Privilege Defined with Unsafe Actions) 계열의 취약점으로, 로컬 시스템 내의 비특권 사용자가 특정 프로세스나 파일 시스템의 권한 제어 허점을 악용할 수 있도록 허용합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 대상 가상머신(VM)에 일반 사용자 계정(Non-administrative privileges)으로 로그인하거나 쉘 권한을 획득해야 합니다. 가상머신이 Aria Operations의 SDMP 기능에 의해 모니터링되는 과정에서, VMware Tools 에이전트와 SDMP 데몬 간의 통신 또는 파일 실행 경로 상에서 권한 검증 미흡이 발생합니다. 공격자는 이 취약한 경로를 조작하거나 심볼릭 링크, 환경 변수 주입 등의 기법을 사용하여 고권한(root)으로 실행되는 프로세스가 악성 페이로드를 실행하도록 유도함으로써 최종적으로 root 권한을 획득하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.8(High)로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 악용이 확인된 고위험군 취약점입니다. 공격자가 가상머신 내부의 root 권한을 장악할 경우, 해당 VM 내의 모든 비즈니스 데이터 탈취, 시스템 파괴, 백도어 설치는 물론, 하이퍼바이저 및 인접 가상 인프라로의 추가 횡적 이동(Lateral Movement)을 위한 교두보로 활용될 수 있어 인프라 전체에 심각한 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

VMware Aria Operations and VMware Tools contain a local privilege escalation vulnerability. A malicious local actor with non-administrative privileges having access to a VM with VMware Tools installed and managed by Aria Operations with SDMP enabled may exploit this vulnerability to escalate privileges to root on the same VM.

http://support.broadcom.com/group/ecx/support-content-view/-/support-content/Security%20Advisories/VMSA-2025-0015--VMware-Aria-Operations-and-VMware-Tools-updates-address-multiple-vulnerabilities--CVE-2025-41244-CVE-2025-41245--CVE-2025-41246-/36149

출처: security@vmware.com · Permissions Required

http://www.openwall.com/lists/oss-security/2025/09/29/10

출처: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

https://lists.debian.org/debian-lts-announce/2025/10/msg00000.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Mailing List, Third Party Advisory

https://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Exploit, Third Party Advisory

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36149

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-41244

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2025-41244)

FAQ

Q1. CVE-2025-41244 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-41244의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 8.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-41244에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware, broadcom이며, 대상 컴포넌트는 aria_operations, vmware_tools입니다. 상세 영향 범위: VMware Aria Operations에 의해 관리되고 SDMP(Service Discovery Management Pack)가 활성화된 환경에서 실행되는 VMware Tools 설치 가상머신

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Broadcom 공식 보안 권고에 따라 VMware Tools 및 Aria Operations를 최신 패치 버전으로 즉시 업데이트하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동