[분석가] 분석 — CVE-2025-43300
CVE-2025-43300 is a critical out‑of‑bounds write memory‑corruption flaw in Apple’s image processing stack that enables remote code execution, and immediate patching of all affected iOS/iPadOS/macOS devices is required.
📋 요약
- 심각도 critical · CVSS 10.0 · EPSS 0.20388 · 악용난이도 easy · KEV
🔍 공격 기법
- 악의적으로 조작된 이미지 파일이 ImageIO/CoreGraphics 등 이미지 디코더에 전달될 때 경계 검증 부족으로 OOB write가 발생한다.
- 메모리 손상이 함수 포인터나 반환 주소를 덮어써 원격 코드 실행(RCE)으로 이어진다.
- 네트워크 접근 가능(AV:N), 권한 요구 없음(PR:N), 사용자 상호작용 없이 자동 발동(UI:N) → 공격자는 웹 페이지, 이메일 첨부, 파일 업로드 등 이미지 디코더가 호출되는 모든 경로를 이용할 수 있다.
악용 가능성: 이 취약점은 네트워크를 통해 전달된 이미지 파일을 처리하는 단계에서 발생하며, AV:N에 따라 원격 공격자가 직접 접근할 수 있습니다. AC:L
💥 영향 분석
- 기술적 결과: 성공 시 전체 시스템 권한을 획득할 수 있는 원격 코드 실행이 가능해 데이터 탈취·시스템 장악·추가 악성 페이로드 설치 등이 이루어진다.
- 비즈니스 리스크:
- 기밀 정보(기업 비밀, 개인식별정보 등) 유출 위험 ↑
- 서비스 가용성 저하 및 디바이스 재부팅/크래시로 인한 업무 중단 가능성 ↑
- 규제·컴플라이언스 위반(예: HIPAA, PCI‑DSS) 시 벌금·신뢰도 손실 발생 가능
- 영향 제품·노출 규모: iOS 15.8.5 미만, 16.0‑16.7.12, 17.0‑18.6.2 및 iPadOS 동일 버전, macOS 13.0‑13.7.8 등 총 8개의 주요 Apple OS 라인에 걸쳐 존재한다. 이들 제품은 전 세계 수억 대 디바이스에 배포돼 공급망 라이브러리 특성상 광범위한 노출이 예상된다.
- 실제 악용 가능성: EPSS 0.20388(백분위 0.97227)와 KEV 등재·‘exploit=easy’ 평가가 결합되어, 현재 시점에서 실제 공격이 관측될 확률이 매우 높다(≈20% 수준). 따라서 즉시 대응이 필요하다.
🔗 관련 취약점·체이닝
- 메모리 손상 기반 RCE는 기존 권한 상승(CVE‑XXXX‑YYYY)이나 샌드박스 탈피 기법과 결합될 경우 커널 수준 침투로 확대될 수 있다.
- 이미지 디코더를 이용한 초기 공격 이후, 파일 시스템 접근·키체인 탈취 등 다른 Apple 고유 취약점과 연계해 지속성을 확보할 가능성이 존재한다.
🔎 탐지
- 시스템 로그: ImageIO/CoreGraphics 크래시 로그, “EXC_BAD_ACCESS” 또는 “out‑of‑bounds write” 이벤트.
- 네트워크 IDS/UTM: 알려진 악성 이미지 파일 해시(또는 특이한 MIME 타입) 탐지 규칙.
- Endpoint Detection: 비정상적인 메모리 할당·해제 패턴, 디코더 호출 직후 프로세스 종료 징후.
- WAF/Proxy: multipart/form‑data 업로드 시 이미지 파일 확장자·MIME 검증 실패 기록.
🛡️ 완화 방안
- 패치 적용 – iOS 15.8.5+, iPadOS 15.8.5+, iOS 16.7.12+, iPadOS 16.7.12+, iOS 18.6.2+, iPadOS 18.6.2+, iPadOS 17.7.10, macOS Ventura 13.7.8, macOS Sonoma 14.7.8, macOS Sequoia 15.6.1 등 모든 영향을 받는 버전으로 즉시 업데이트.
- 입력 검증 강화 – 이미지 파일 업로드·수신 경로에서 MIME 타입·파일 매직 바이트 기반 정밀 검증을 적용하고, 의심스러운 파일은 디코딩 전 격리된 샌드박스로 전달.
- 서비스 제한 – 내부 서비스가 이미지 디코더를 직접 호출하지 않도록 API 접근 제어 및 최소 권한 원칙 적용.
- 모니터링·알림 – 위 탐지 지표에 기반한 실시간 알림을 설정하고, 크래시 발생 시 자동으로 해당 호스트를 격리하도록 워크플로우 구성.
- 장기 방어 – 이미지 파싱 라이브러리를 최신 보안 패치가 적용된 버전으로 교체하고, Apple 제공 “Secure Image Decoding” 옵션이 있으면 활성화.
⚖️ 위험도 / 우선순위
- 조치: immediate (지금 즉시(24h 내))
- 근거: CVSS=10.0 · KEV · EPSS=0.20388 · exploit=easy · in_scope=None