[분석가] 분석 — CVE-2025-24201

• 심각도 critical · CVSS 10.0 · EPSS 0.0424 · 악용난이도 easy · KEV

악의적으로 조작된 웹 콘텐츠가 WebKit 내부 경계 검증을 우회하여 out‑of‑bounds write 를 수행합니다. 이 쓰기는 Web Content sandbox 를 탈출하게 만들며, 탈출 후에는 시스템 콜 변조·Keychain 접근·임의 코드 실행이 가능해집니다. 네트워크를 통한 웹 페이지 로딩만으로도 사용자 개입 없이 자동으로 발동됩니다(AV:N/AC:L/PR:N/UI:N).

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 표시되며, 네트워크를 통해 원격에서 복잡한 사전 작업 없이 바로 악용할 수 있음을 의미합니다. 공격자는 인증이나 권한이 전혀 필요 없으며,

• 영향 제품: Safari < 18.3.1, macOS 15.0‑15.3.2, visionOS < 2.3.2, watchOS < 11.4, iPadOS 15.8‑15.8.4·16.7‑16.7.11·17.0‑17.7.6·18.0‑18.3.2 (총 8개 제품군).
• 기술적 위험
  • WebKit sandbox 탈출 → 전체 시스템 메모리·커널 접근 가능.
  • 권한 상승 후 Keychain, 파일시스템, 네트워크 인터페이스 등 민감 데이터 직접 열람·수정.
  • 악성 코드 실행으로 서비스 중단·추가 악성 행위(예: 랜섬웨어) 전파 위험.
• 비즈니스 리스크
  • 기밀 정보 유출(개인키, 인증 토큰 등) → 규제 위반·법적 책임 발생 가능.
  • 사용자 신뢰도 하락 및 브랜드 이미지 손상.
  • 다수 엔드포인트가 동일 취약점에 노출돼 빠른 확산 시 복구 비용 급증.
• 실제 악용 전망
  • EPSS 0.0424(≈4 % 실전 악용 가능성)와 KEV 등재로 이미 실제 공격 사례가 보고되었습니다([우선순위 결정]).
  • 다중 소스 교차검증 결과 일관성이 확인되어 신뢰도가 높습니다([교차검증]).

WebKit 메모리‑오염 패턴은 과거 유사한 WebKit 취약점과 연계될 수 있으며, sandbox 탈출 후에는 기존 권한 상승 기법(예: 시스템 콜 변조)이나 Keychain 접근 취약점과 체인하여 추가 피해를 확대할 가능성이 있습니다. 구체적인 CVE 번호는 현재 확인되지 않았습니다.

• Safari/WebKit 프로세스에서 비정상적인 vm_write·mach_vm_write 호출 로그.
• 파일 디스크립터 수 급증 및 /private/var/keychains/* 접근 시도 감시.
• Sandbox 탈출 후 발생하는 고위험 시스템 콜(execve, ptrace, task_for_pid) 이벤트.
• 위 지표를 조합한 EDR 룰(“메모리 쓰기 + FD 증가”)을 적용하면 초기 탐지가 가능합니다([🛡️ DGX_B] 의견 반영).

1. 즉시 조치: Apple이 제공한 최신 보안 업데이트를 모든 영향을 받는 기기에 배포합니다( Safari 18.3.1, macOS 15.3.2, visionOS 2.3.2, watchOS 11.4, iPadOS 각 버전).
2. 패치 전 임시 방어
   • Safari에서 JavaScript·플러그인 실행 제한 정책 강화.
   • 시스템 무결성 보호(SIP)와 앱 샌드박스 설정을 검토·강화.
   • 위 탐지 지표를 기반으로 EDR 규칙을 즉시 활성화하고, 정상 웹 브라우징 트래픽 기준을 정의해 오탐을 최소화합니다([🕵️ DGX_3] 의견 반영).
3. 장기 방어
   • 정기적인 OS·브라우저 패치 자동화 프로세스 구축.
   • Keychain 등 민감 데이터에 대한 접근 권한 최소화 및 감사 로깅 강화.
   • 네트워크 세분화를 통해 내부망 침투 시 피해 범위 제한.

이러한 조치는 CVSS 10.0·KEV·EPSS 0.0424 기반으로 즉시 대응이 필요함을 강조하며([우선순위 결정]), 공급망에 다수 제품이 포함된 점을 고려해 조직 전체 차원의 신속한 패치와 탐지 체계 구축이 권고됩니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.0424 · exploit=easy · in_scope=None