[공격] 분석 — CVE-2025-49796

• 심각도 critical · CVSS 9.1 · EPSS 0.01437 · 악용난이도 moderate

• 트리거 조건: XML 파일 내의 특정 sch:name 요소(Schematron 관련)를 처리하는 과정에서 메모리 오염(Memory Corruption) 발생. 특수하게 조작된 XML 구조가 libxml2 파서의 메모리 관리 로직을 무너뜨리는 것이 핵심임.
• 공격 단계:
  1. 정찰: 대상 시스템이 libxml2를 사용하여 XML 데이터를 처리하는지 확인(HTTP Header, API 응답 형식 등).
  2. 초기 접근: XML 입력을 허용하는 엔드포인트(API, 파일 업로드, 설정 파일 로드 등)에 접근.
  3. 실행/영향: sch:name 요소가 포함된 악성 XML 페이로드를 전송 $\rightarrow$ 파서가 이를 처리하며 메모리 오염 유발 $\rightarrow$ 프로세스 Crash(DoS) 또는 추정: 메모리 레이아웃 조작을 통한 임의 코드 실행 시도.
• 공격 표면:
  • libxml2를 내장한 모든 애플리케이션 및 프레임워크.
  • XML 기반 설정 파일 업로드 기능, SOAP/REST API의 XML 바디 파라미터.
• CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N은 인증되지 않은 외부 공격자가 네트워크를 통해 아무런 사용자 상호작용 없이 매우 낮은 복잡도로 공격 가능함을 의미함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 XML 파일을 전송하는 것만으로 트리거되는 매우 낮은 진입 장벽을 가집니다. 공격 표면은 libxml2 라이브러리를 사용하여 XML 스키마 검증이나 파싱을 수행하는 모든 엔드포인트와 그에 연결된 입력 파라미터, 그리고 sch:name 요소를 처리하는 내부 함수로 매핑됩니다. EPSS 수치가 0.01437로 낮고 KEV에 등재되지 않았음에도 불구하고, XML 파싱은 현대 애플리케이션의 데이터 교환 표준이기에 잠재적인 공격 접점이 광범위하며 이론적 심각도와 별개로 실질적인 위협이 됩니다. 특히 메모리 오염(Memory Corruption) 특성상 단순한 DoS를 넘어 힙 레이아웃 조작을 통한 임의 코드 실행으로 이어질 가능성이 존재합니다. 결과적으로 공격자는 정찰 단계에서 XML 입력을 허용하는 API나 설정 파일을 식별한 후, sch:name 요소에 페이로드를 삽입하여 전송함으로써 즉각적인 서비스 중단이나 정의되지 않은 동작을 유발할 수 있습니다.

• 기술적 위험:
  • 서비스 중단(DoS): 메모리 오염으로 인한 프로세스 비정상 종료 및 서비스 불능 상태 유발.
  • undefined behavior: 데이터 오염으로 인해 예측 불가능한 동작 발생, 추정: 특정 조건 하에서 원격 코드 실행(RCE) 가능성 존재.
• 비즈니스 영향:
  • 핵심 인프라의 가용성 상실로 인한 서비스 중단 및 비즈니스 연속성 저해.
  • 메모리 내 민감 데이터 오염으로 인한 무결성 훼손.

• 체이닝 경로: 본 결함은 Memory-Corruption 유형임.
  • 추정: Information Leak(메모리 주소 유출) $\rightarrow$ CVE-2025-49796(메모리 오염/덮어쓰기) $\rightarrow$ RCE(원격 코드 실행) 순으로 체이닝될 가능성이 높음.
  • 추정: XML 외부 엔티티 주입(XXE)을 통해 내부 파일 구조를 파악한 후, 정밀하게 조작된 sch:name 페이로드를 투입하여 공격 성공률을 높이는 패턴이 예상됨.

• 로그 지표:
  • 애플리케이션 로그 내 Segmentation Fault, Memory Access Violation과 같은 Crash 로그 급증.
  • HTTP Request Body 또는 업로드 파일 내 sch:name 태그의 비정상적 반복 또는 과도하게 긴 문자열 포함 여부.
• 탐지 규칙:
  1. 패턴 매칭: XML 입력값 중 <sch:name[^>]*> 패턴이 비정상적으로 많이 나타나거나, 특정 임계치 이상의 길이를 가진 경우 탐지.
     • Regex: /<sch:name\s*[^>]*>[^<]{1024,}<\/sch:name>/ (추정: 1KB 이상의 긴 값)
  2. 프로세스 모니터링: XML 처리 프로세스의 CPU/Memory 사용량이 급증하며 짧은 시간 내에 반복적으로 재시작되는 패턴 감지.
• 오탐 및 튜닝: 정당한 Schematron 검증 파일을 사용하는 환경에서는 오탐이 발생할 수 있음. 화이트리스트 기반의 신뢰 가능한 XML 스키마 정의서를 대조하여 필터링하도록 튜닝 필요.

• 즉시(긴급 차단): WAF 또는 API Gateway에서 sch:name 키워드가 포함된 XML 요청을 일시적으로 차단하거나 검사. (난이도: 하 / 영향: 일부 정상 기능 제한 가능)
• 단기(완화): XML 파서 설정에서 불필요한 스키마 검증 기능을 비활성화하고, 입력값의 최대 크기(Max Depth/Size)를 엄격히 제한. (난이도: 중 / 영향: 성능 저하 미비, 기능 일부 제약)
• 근본(해결): libxml2 라이브러리를 취약점이 해결된 최신 버전으로 업데이트 및 재컴파일. (난이도: 상 / 영향: 라이브러리 의존성 확인 필요, 서비스 재시작 필수)

[분석 근거]
본 리포트는 다중 소스에서 일관성이 확인된 데이터를 기반으로 작성되었습니다. CVSS 9.1의 높은 심각도에도 불구하고, 실측 EPSS 값은 0.01437(백분위 0.70011)로 moderate 등급이며 KEV에 미등재된 상태입니다. 이는 이론적 위험도는 매우 높으나 실제 야생(In-the-wild)에서의 악용 사례는 아직 적음을 뜻합니다. 따라서 규칙 기반 우선순위에 따라 '즉시 대응'이 아닌 '이번 주 내 처리(scheduled)'로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.01437 · exploit=moderate · in_scope=None