CISA, Microsoft Power Pages 취약점 KEV 목록에 추가

U.S. CISA adds Microsoft Power Pages flaw to its Known Exploited Vulnerabilities catalog

U.S. CISA adds Microsoft Power Pages flaw to its Known Exploited Vulnerabilities catalog

 

• 취약점 개요
  • 취약점 ID: CVE-2025-24989
  • CVSS 점수: 8.2 (높은 위험도)
  • 취약점 유형: 잘못된 접근 제어 (Improper Access Control)
  • 영향을 받는 시스템: Microsoft Power Pages
  • 취약점 설명
    • 공격자는 사용자 등록 제어(User Registration Control)를 우회하여 네트워크를 통한 권한 상승(Privilege Escalation)이 가능
    • 인증되지 않은 공격자가 시스템에 접근할 수 있는 위험이 있음
• 공격 및 영향
  • Microsoft에 따르면 이 취약점은 실제 공격에 사용되고 있음
  • 영향을 받는 고객에게는 이미 잠재적 악용 가능성 확인 및 클린업(cleanup) 방법이 제공됨
  • 공지가 없는 경우 이 취약점의 영향을 받지 않음
• CISA의 조치 및 보안 권고
  • Binding Operational Directive (BOD) 22-01에 따라, 연방 민간 행정 기관(FCEB)은 이 취약점을 포함한 KEV 목록의 모든 취약점을 정해진 기한 내에 수정해야 함
  • 해당 취약점의 수정 기한: 2025년 3월 21일
  • 민간 기업과 기관 역시 CISA의 KEV 카탈로그를 검토하고, 자사 시스템 내 동일한 취약점을 수정할 것을 권장
• 결론
  • Microsoft Power Pages를 사용하는 조직은 즉시 취약점 패치를 적용하고, 시스템 내 권한 관리 정책을 재검토해야 함
  • 사용자 등록 제어 및 권한 부여 메커니즘을 점검하여 우회 가능성이 없는지 확인 필요
  • 지속적인 모니터링을 통해 비정상적인 권한 상승 또는 인증되지 않은 접근 시도를 탐지해야 함
  • 모든 시스템에 대해 최신 보안 업데이트를 유지하고, 취약점 관리 체계를 강화할 것을 권장