CVE 데이터베이스CVE-2025-62221

최종 갱신 2026-09-25English Advisory →

CVE-2025-622217.8/HIGHCISA KEV 등재CWE-416

Windows Cloud Files 미니 필터 드라이버 Use-After-Free 로컬 권한 상승 취약점 (CVE-2025-62221) 긴급 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows

권고문 발행일

2025-12-09

CVSS v3.1

7.8

HIGH

30일 악용확률

2.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows Cloud Files 미니 필터 드라이버(cldflt.sys)를 사용하는 Windows 운영체제 시스템

파급 효과

로컬 권한을 가진 일반 사용자가 커널 메모리 손상을 유도하여 SYSTEM 권한으로 임의 코드를 실행할 수 있음

권장 조치

Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 미니 필터 드라이버에 대한 모니터링을 강화할 것

영향받는 제품 및 버전 범위

Windows Cloud Files 미니 필터 드라이버(cldflt.sys)가 활성화된 Windows 10, 11 및 Windows Server 제품군

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 제공하는 최신 누적 업데이트(LCU)를 적용해야 합니다. PowerShell을 사용하여 Windows Update를 강제 실행하고 패치를 적용할 수 있습니다.

powershell

# Windows Update 모듈 설치 및 업데이트 확인/설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 환경에서는 Cloud Files 드라이버(cldflt)의 시작 유형을 비활성화하여 공격 표면을 최소화할 수 있습니다. (주의: OneDrive 등 클라우드 동기화 기능이 제한될 수 있습니다.)

powershell

# cldflt 드라이버 서비스 시작 유형을 비활성화(Disabled)로 변경
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\CldFlt' -Name 'Start' -Value 4

# 시스템 재부팅 후 드라이버 로드 여부 확인
fltmc filters

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내 cldflt.sys 파일의 버전 및 드라이버 상태를 점검하여 취약한 상태인지 확인합니다.

powershell

# cldflt.sys 파일 버전 확인
Get-ItemProperty -Path 'C:\Windows\System32\drivers\cldflt.sys' | Select-Object -Property VersionInfo | Format-List

# 이벤트 뷰어에서 cldflt.sys 관련 오류 또는 비정상적인 드라이버 로드 로그 검색
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-FilterManager'} -ErrorAction SilentlyContinue | Where-Object {$_.Message -like '*cldflt*'}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

본 취약점은 실제 공격에 악용되고 있으므로(CISA KEV 등재), 자산 내 Windows 시스템의 최신 보안 패치 적용 여부를 즉시 검토하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Windows Cloud Files 미니 필터 드라이버(cldflt.sys) 내에서 발생하는 Use-After-Free(UAF, CWE-416) 취약점입니다. Cloud Files API 및 동기화 엔진을 처리하는 과정에서 특정 객체의 참조 계수(Reference Count)가 올바르게 관리되지 않아, 이미 해제된 메모리 영역을 참조하는 현상이 발생합니다. 이로 인해 커널 풀(Kernel Pool) 메모리가 오염되어 시스템 불안정성을 유발하거나 임의의 커널 메모리 쓰기가 가능해집니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 시스템에 대한 일반 사용자 권한(Low-Privilege)을 먼저 확보해야 합니다. 이후 특수하게 조작된 I/O 요청(IOCTL)을 Cloud Files 미니 필터 드라이버에 전송하여 특정 객체의 해제를 유도합니다. 해제된 메모리 공간에 공격자가 제어하는 데이터를 재배치(Heap Spraying 등)한 뒤, 드라이버가 해당 객체를 다시 참조하도록 트리거함으로써 실행 흐름을 가로챕니다. 최종적으로 커널 모드에서 SYSTEM 권한으로 셸코드를 실행하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용되고 있음이 확인되었습니다. 로컬 권한 상승(LPE) 취약점은 단독으로 사용되기보다 초기 침투(Phishing, Web Exploit 등) 성공 후 내부망 이동(Lateral Movement) 및 도메인 장악을 위한 핵심 징검다리로 악용됩니다. 공격자가 SYSTEM 권한을 획득할 경우 보안 솔루션(EDR/AV)을 무력화하고 랜섬웨어를 배포할 수 있어 비즈니스 연속성에 치명적인 위협이 됩니다.