목차
개요
2025년 10월 14일(두 번째 화요일)에 배포된 Microsoft Patch Tuesday는 총 172개 취약점을 패치했습니다. 이 중 6개는 zero-day 취약점으로, 3개(CVE-2025-24990, CVE-2025-59230, CVE-2025-47827)가 적극적으로 악용된 것으로 확인되었습니다. 심각도별 통계는 다음과 같습니다:
- Critical: 8개 (5개 RCE, 3개 EoP)
- Important: 다수 (예: 대부분의 zero-day가 Important 등급)
- Moderate/Low: 소수 (Mariner 및 기타 컴포넌트 관련) 취약점 유형: Elevation of Privilege 80개, RCE 31개, Information Disclosure 28개 등. 이 업데이트는 Windows 10의 마지막 무료 보안 업데이트이기도 합니다.
업데이트된 운영체제 및 애플리케이션 목록
운영체제
- Windows 10 (모든 지원 버전; 지원 종료)
- Windows 11
- Windows Server (Failover Cluster, Hyper-V, Kernel, NTFS, ReFS, SMB 등 컴포넌트 포함)
애플리케이션 및 컴포넌트
- .NET 및 .NET Framework
- Microsoft Office (Excel, PowerPoint, SharePoint, Visio, Word)
- Microsoft Graphics Component
- ASP.NET Core
- Azure (Entra ID, Monitor, PlayFab, Confidential Container Instances 등)
- Microsoft Exchange Server
- Microsoft Edge (Chromium 기반)
- Remote Desktop Services
- Windows Codecs Library
- 기타: Active Directory Federation Services, BitLocker, Bluetooth, Copilot, GitHub Playwright, Internet Explorer, JDBC Driver, Mariner, PowerShell, Secure Boot, Xbox Gaming Services 등
패치된 CVE 목록
Critical 수준 CVE (상세 포함)
아래는 Critical(심각) 등급의 8개 CVE 목록으로, CVE ID, 설명, 영향을 받는 제품을 포함합니다. 이 중 일부는 zero-day로 악용 가능성이 높습니다.
CVE-2025-0033(AMD Restricted Memory Page RCE): SNP 초기화 중 RMP 손상으로 하이퍼바이저가 게스트 메모리 무결성을 위협. 영향을 받음: AMD EPYC 프로세서 (Azure Confidential Computing).CVE-2025-59218(Azure Entra ID EoP): 권한 상승 취약점. 영향을 받음: Azure Entra ID.CVE-2025-59246(Azure Entra ID EoP): 권한 상승 취약점 (악용 가능성 높음, CVSS 9.8). 영향을 받음: Azure Entra ID.CVE-2025-55321(Azure Monitor Spoofing): 로그 분석 스푸핑 취약점. 영향을 받음: Azure Monitor.CVE-2025-59247(Azure PlayFab EoP): 권한 상승 취약점. 영향을 받음: Azure PlayFab.CVE-2025-59292(Confidential Azure Container Instances EoP): 권한 상승 취약점. 영향을 받음: Confidential Azure Container Instances.CVE-2025-59291(Confidential Azure Container Instances EoP): 권한 상승 취약점. 영향을 받음: Confidential Azure Container Instances.CVE-2025-59227(Microsoft Office RCE): 원격 코드 실행 취약점. 영향을 받음: Microsoft Office.
Critical 외 기타 CVE (공개 정보 기반 요약)
Critical 외 취약점은 주로 Important 등급으로, 총 164개입니다. 주요 유형 및 예시:
- Elevation of Privilege (80개): Windows Remote Access Connection Manager (CVE-2025-59230, CVSS 7.8; 로컬 권한 상승), Microsoft Graphics Component (CVE-2025-49708, CVSS 9.9; 그래픽스 EoP) 등. 영향을 받음: Windows, Azure.
- Remote Code Execution (26개 추가): Microsoft Excel (CVE-2025-59236), WSUS (CVE-2025-59287, CVSS 9.8; 서버 업데이트 서비스 RCE), PowerPoint (CVE-2025-59238).
- Information Disclosure (28개): Windows Search Component 등.
- Zero-day (Important 등급 포함): CVE-2025-24990 (Agere Modem Driver EoP; 모뎀 드라이버 제거로 패치), CVE-2025-47827 (Secure Boot 우회).
- 기타: Mariner 커널 취약점 (CVE-2025-39943 등, 5개), Redis Enterprise EoP (CVE-2025-59271).
자세한 CVE 목록은 Microsoft Security Update Guide를 참조하세요. 업데이트를 즉시 적용하는 것을 권장합니다.