[분석가] 분석 — CVE-2025-49795

• 심각도 high · CVSS 7.5 · EPSS 0.00475 · 악용난이도 moderate

1. 트리거 조건: libxml2 라이브러리가 XPath XML 표현식을 처리하는 과정에서, 특정하게 조작된 악성 XML 입력값이 제공될 때 NULL 포인터를 참조(Dereference)하여 프로세스가 비정상 종료됨.
2. 공격 단계:
   • 초기 접근: libxml2를 사용하는 애플리케이션의 외부 입력 인터페이스(API, 파일 업로드 등)를 통해 XML 데이터 전송.
   • 실행: 애플리케이션이 전달받은 XML 내의 XPath 표현식을 파싱 및 평가하는 단계에서 결함 트리거.
   • 영향: NULL pointer dereference로 인한 세그멘테이션 폴트(Segmentation Fault) 발생 $\rightarrow$ 프로세스 크래시 및 서비스 중단.
3. 공격 표면: XML 입력을 처리하고 XPath 쿼리를 수행하는 모든 엔드포인트, 파라미터, 프로토콜.
4. CVSS 벡터 연결: AV:N/AC:L/PR:N/UI:N에 따라 인증되지 않은 외부 공격자가 특별한 사용자 상호작용 없이 네트워크를 통해 낮은 난이도로 공격 가능함.

악용 가능성: ### 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 가져, 네트워크를 통해 인증되지 않은 외부 공격자가 특별한 사용자 상호작용 없이도 원격에서 트리거할 수 있는 낮은 진입 장벽을 가집니다. 공격 표면은 libxml2 라이브러리를 사용하여 XPath XML 표현식을 처리하는 모든 엔드포인트와 파라미터이며, 조작된 악성 XML 입력을 전송함으로써 NULL pointer dereference를 유발해 서비스 거부(DoS) 상태로 만들 수 있습니다. 이론적 공격 난이도는 매우 낮으나, 실제 악용 가능성은 EPSS 0.00475라는 낮은 수치와 KEV 미등재 상태를 통해 볼 때 현재 야생에서의 활발한 공격 관측은 제한적인 것으로 판단됩니다. 다만, libxml2가 광범위한 오픈소스 프로젝트 및 상용 소프트웨어의 기본 XML 파서로 채택되어 있어, 잠재적인 노출 규모는 매우 방대합니다. 따라서 이론적 심각도는 높으나 실측 위협 지표는 낮은 'Moderate' 등급으로 판정되며, 이는 특정 타겟을 겨냥한 정밀 공격보다는 라이브러리를 사용하는 서비스의 가용성을 저해하려는 시도에 악용될 가능성이 큼을 의미합니다.

1. 기술적 위험: 서비스 가용성 상실(Denial of Service). 메모리 오류로 인한 프로세스 강제 종료가 발생하며, 이는 시스템 전체 또는 해당 라이브러리를 사용하는 특정 모듈의 마비로 이어짐.
2. 비즈니스 영향:
   • 서비스 가용성: XML 기반 설정이나 데이터 교환을 처리하는 핵심 서비스의 중단으로 인한 비즈니스 연속성 저해.
   • 신뢰도: 외부 입력에 의한 반복적인 크래시 발생 시 시스템 안정성에 대한 신뢰도 하락.
   • 노출 규모: libxml2는 광범위하게 사용되는 라이브러리이므로, 영향 제품은 매우 다양할 것으로 추정됨(구체적 제품명 미상).

1. 취약점 유형: NULL Pointer Dereference (CWE-476).
2. 추정 체이닝 패턴: 단독으로는 DoS에 그치나, 자동 재시작 메커니즘이 없는 환경에서는 영구적 서비스 중단을 야기함. 추정: 만약 메모리 레이아웃을 제어할 수 있는 다른 취약점과 결합될 경우, 단순 크래시를 넘어 실행 흐름 제어로 이어질 가능성이 있으나 본 CVE 단독으로는 불가능함.

1. 로그 지표: 애플리케이션 로그 내 Segmentation fault, core dumped, 또는 XPath 처리 모듈에서의 비정상 종료 기록 확인.
2. 탐지 규칙 예시:
   • 로직 1 (WAF/IDS): XML 페이로드 내에 비정상적으로 길거나 복잡한, 혹은 특수하게 조작된 XPath 표현식 패턴 탐지.
   • 로직 2 (SIEM): process_name = "libxml2_using_app" AND event_id = "crash" AND error_code = "SIGSEGV".
   • 정규식 예시: XPath 구문 중 비정상적인 함수 호출이나 반복 구조 탐지 (예: /.*\/.*\/.* 식의 과도한 경로 탐색 패턴).
3. 오탐 시나리오 및 튜닝: 정상적인 복잡한 XML 쿼리를 공격으로 오인할 수 있음. 실제 크래시 발생 로그와 매핑하여 임계값을 설정하거나, 알려진 정상 쿼리 화이트리스트를 적용해 튜닝함.

• 즉시(긴급 차단):
  • WAF 또는 API 게이트웨이에서 XPath 표현식이 포함된 XML 입력의 길이를 제한하거나, 의심스러운 특수문자 조합을 필터링함. (난이도: 낮음 / 영향: 일부 정상 요청 차단 가능성 있음 / 검증: 차단 로그 확인)
• 단기(완화):
  • libxml2를 사용하는 프로세스에 대해 자동 재시작(Auto-restart/Health check) 메커니즘을 적용하여 가용성 저하 시간을 최소화함. (난이도: 중간 / 영향: 성능 오버헤드 미미 / 검증: 크래시 후 복구 시간 측정)
• 근본(해결):
  • libxml2 라이브러리를 해당 결함이 수정된 최신 버전으로 업데이트함. (난이도: 중간 / 영향: 라이브러리 의존성 확인 필요 및 서비스 재시작 필요 / 검증: 패치 버전 적용 후 PoC 테스트 또는 취약점 스캔)

[파이프라인 근거] 본 분석은 다중 소스에서 데이터 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. EPSS 실측값(0.00475, 백분위 0.37792)은 이론적 심각도(CVSS 7.5)에 비해 실제 야생 악용 가능성이 현재로서는 낮음을 의미합니다. 이에 따라 KEV 미등재 및 Moderate 등급의 악용 예측을 반영하여 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00475 · exploit=moderate · in_scope=None