[공격] 분석 — CVE-2025-43300

• 심각도 critical · CVSS 10.0 · EPSS 0.20388 · 악용난이도 easy · KEV

• 공격 표면: 이미지 디코더 라이브러리(예: ImageIO, CoreGraphics) → 파일 입출력 API, HTTP multipart 업로드, Mail/Message 첨부 파일, Safari URL 이미지 로드 등 모든 외부 이미지 입력 경로가 대상.

• 트리거 조건: 공격자는 메모리 할당 크기·오프셋 검증이 부실한 out‑of‑bounds write를 유도하기 위해 특수히 조작된 이미지 파일(예: JPEG/HEIC 헤더와 내부 타일 데이터) 을 전송한다.

• 공격 단계

  1. 정찰 – 대상 디바이스가 iOS 15.x ~ 18.x, iPadOS 15‑18, macOS 13‑14 중 취약 버전인지 확인(버전 정보는 User‑Agent, OTA 업데이트 상태 등으로 추정).
  2. 초기 접근 – 이미지 업로드 엔드포인트에 조작된 파일을 전송한다. 네트워크 경계가 없으면 직접 HTTP POST, 있으면 SSRF·프록시를 이용해 내부 서비스에 전달 가능.
  3. 실행·권한 획득 – 디코더가 이미지 메타데이터를 파싱하면서 OOB write 로 힙 오버플로우 발생 → 인접 함수 포인터(또는 vtable) 를 공격자가 제어하는 주소로 덮어씌움 → 쉘코드 실행. CVSS 벡터 AV:N/AC:L/PR:N/UI:N와 일치하며, 네트워크 접근만으로 전파 가능.
  4. 지속 – 초기 RCE 후 launchctl(macOS) 혹은 launchd/mobileinstallerd(iOS/iPadOS) 를 이용해 지속성 플래그를 설정하거나, 루트 권한 상승을 위한 추가 로컬 취약점 체이닝을 수행한다.
  5. 영향 – 완전 원격 코드 실행 → 데이터 유출·시스템 장악·추가 악성 페이로드 전파.

• 우회 포인트: 메모리 할당 크기 제한 및 샌드박스 적용 없이 디코더에 직접 접근하면 방어 회피가 쉬움. 따라서 이미지 파싱 전 단계에서 강제 샌드박스(예: sandbox-exec 정책) 를 삽입하거나, 파일 타입 검증을 우회하는 폴리글랏 파일을 차단해야 함.

악용 가능성: AV가 Network이고 AC가 Low이며 PR이 None, UI가 None인 CVSS 벡터는 공격자가 네트워크를 통해 인증·사용자 동작 없이 바로 악성 이미지를 전송해 메모리 손상을 일으킬 수 있음을 의미합니다. EPSS 0.20388이라는 높은 실측 값은 이 취약점이 실제 환경에서 약 20 % 정도의 확률로 악용될 가능성이 있음을 보여주며, KEV에 등재된 점은 이미 관찰된 공격 사례가 존재함을 입증합니다. 노출되는 엔드포인트는 이미지 파일을 수신·처리하는 모든 서비스(예: 메일 서버, 메시징 앱, 웹‑업로드 API, 미디어 프리뷰 기능)이며, 파라미터는 파일 자체의 바이트 스트림과 포맷 헤더가 됩니다. 공격자는 먼저 대상 시스템이 해당 이미지 파서를 사용한다는 정보를 정찰하고, 악성 이미지를 네트워크 전송(예: 이메일 첨부 또는 HTTP POST 업로드)만으로 메모리 오버플로우를 유발합니다. 성공적인 메모리 손상은 프로세스 내 임의 코드 실행을 가능하게 하며, 해당 프로세스가 높은 권한으로 동작한다면 추가적인 권한 상승 없이도 시스템 전반에 영향을 미칠 수 있습니다. 따라서 이 취약점은 “easy” 등급이 적절하며, 원격·무인 공격 경로와 넓은 이미지 처리 표면이 실제 위협을 크게 만들고 있습니다.

• 성공 시 공격자는 루트/시스템 권한으로 임의 코드를 실행한다.
• iOS/iPadOS에서는 전체 기기 제어·키체인 탈취·통신 감청이 가능하고, macOS에서는 파일 시스템 전부 접근 및 관리자 권한 상승이 이루어진다.
• 다수 제품군(iPhone OS, iPadOS, macOS) 에 동일 라이브러리가 포함돼 있어 공급망 전체에 걸친 위험도가 매우 높다.

• CWE‑119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) 와 직접 연관된 메모리 손상 유형이며, 동일 이미지 디코더에서 발생한 과거 CVE(예: CVE‑2023‑xxxx)와 유사하게 heap spray → 함수 포인터 오버라이트 패턴을 사용한다.
• 추정: 공격자는 이 취약점을 이용해 초기 RCE를 획득한 뒤, 로컬 권한 상승용 CVE(예: macOS Kernel CVE‑2024‑xxxx) 를 연계할 가능성이 있다. 이는 “Memory‑Corruption → Privilege Escalation” 체인으로 흔히 관찰된다.

• 로그 패턴: 이미지 파싱 시 SIGSEGV, EXC_BAD_ACCESS 혹은 kernel panic 로그가 비정상적으로 짧은 시간에 다수 발생.
• 네트워크 지표: 동일 IP/UA 로 짧은 간격의 대용량 multipart 업로드 요청이 감지되면 경보.
• 메모리 힙 이벤트: 시스템 콜 mmap/munmap 의 비정상적인 연속 호출(특히 큰 할당 후 즉시 해제) 과 objc_msgSend 에 대한 이상 패턴이 보이면 탐지 규칙에 포함.

• 즉시: Apple 공식 업데이트(iOS 15.8.5, iPadOS 15.8.5, iOS 16.7.12, iPadOS 16.7.12, iOS 18.6.2, iPadOS 18.6.2, iPadOS 17.7.10, macOS 13.7.8 등) 를 전부 적용한다.
• 입력 검증: 모든 이미지 업로드·첨부 경로에서 MIME 타입과 매직 바이트를 재검증하고, 허용된 포맷(예: PNG, JPEG) 외 파일은 차단한다.
• 샌드박스 강화: 이미지 파싱을 별도 프로세스로 격리하고, sandbox-exec 혹은 App Sandbox 정책으로 메모리 할당 한도를 제한한다.
• WAF/IPS 규칙: 특수 헤더(예: Content-Type: image/*) 와 함께 비정상적인 파일 크기·구조를 가진 요청을 차단하도록 시그니처 추가.
• 모니터링: 위 탐지 지표를 SIEM에 연동하고, EPSS 0.20388 과 KEV 등재 사실을 고려해 알림 민감도를 높인다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.20388 · exploit=easy · in_scope=None