[방어] 분석 — CVE-2025-43300

• 심각도 critical · CVSS 10.0 · EPSS 0.20388 · 악용난이도 easy · KEV

• 촉발 경로: 특수하게 조작된(Crafted) 이미지 파일이 OS의 이미지 디코더 라이브러리에 전달될 때 트리거됩니다.
• 취약점 원리: Out-of-bounds write로 인해 메모리 경계를 넘어선 데이터 쓰기가 발생하며, 이는 Memory-Corruption으로 이어집니다.
• 공격 단계:
  1. 악성 이미지 파일 전송 (HTTP multipart upload, 메시징 앱 등).
  2. 이미지 파싱 중 Heap 영역의 메모리 오염 유도.
  3. 추정: Heap spray 등을 통해 함수 포인터를 덮어쓰고 제어 흐름을 조작하여 원격 코드 실행(RCE) 달성. 특히 매직 바이트를 조작한 폴리글랏(Polyglot) 파일을 사용하여 단순 확장자 검증을 우회할 가능성이 높습니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 환경에서의 악용 가능성은 극히 높습니다. CVSS 벡터상 AV:N/AC:L/PR:N/UI:N으로 표기된 것처럼, 공격자는 특별한 권한이나 사용자 상호작용 없이 네트워크를 통해 원격으로 공격을 수행할 수 있는 최적의 조건을 갖추고 있습니다. 특히 EPSS 수치가 0.20388로 높게 측정되고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이 취약점이 이론적 위험을 넘어 이미 실제 공격에 활발히 이용되고 있음을 입증합니다. 주요 공격 표면은 악의적으로 조작된 이미지 파일의 처리 과정이며, 특정 엔드포인트나 프로토콜을 통해 전달된 이미지 데이터를 파싱하는 라이브러리 내 Out-of-bounds Write 지점이 트리거 포인트가 됩니다. 비록 Apple이 '극도로 정교한 타겟 공격'에 사용되었다고 명시했으나, 익스플로잇 코드가 공개되거나 변형될 경우 일반 사용자에게도 빠르게 확산될 수 있는 고위험군 취약점입니다.

• 시스템 완전 제어: CVSS 10.0 및 벡터(S:C/C:H/I:H/A:H)에 따라 공격자는 대상 기기의 최고 권한을 획득하여 임의 코드를 실행할 수 있습니다.
• 데이터 유출: 메모리 오염을 통해 커널 영역이나 고권한 프로세스의 민감 데이터에 직접 접근 가능합니다.
• 고부가가치 타겟 침해: Apple이 명시한 '특정 개인 대상의 정교한 공격' 사례가 존재하므로, VIP 및 주요 인물 대상의 기기 침해 위험이 극도로 높습니다.

• 유형: Memory-Corruption (CWE-787: Out-of-bounds Write).
• 체이닝 가능성: 단일 취약점으로 RCE가 가능하나, 샌드박스 환경을 탈출하여 시스템 전체 권한을 완전히 장악하기 위해 추가적인 커널 취약점과 체이닝될 가능성이 높습니다.

이미지 디코더 수준의 메모리 오염은 애플리케이션 로그에 직접 남지 않으므로, 유입 경로(Ingress)와 프로세스 이상 행위(Post-Exploit)를 동시에 추적해야 합니다.

• 탐지 지표 및 로그 위치:

  • WAF/Proxy/API Gateway 로그: Content-Type: image/* 요청 중 표준 규격을 벗어난 헤더나 비정상적인 바이트 패턴 확인.
  • EDR/OS Crash 로그: 이미지 렌더링 관련 프로세스(ImageIO, WebKit)의 빈번한 Segmentation Fault 또는 Crash 발생 기록.

• 탐지 규칙 예시:

  1. SIEM (비정상 이미지 업로드 패턴):
     SELECT source_ip, request_uri FROM waf_logs WHERE http_method='POST' AND content_type LIKE 'image/%' AND (request_body_size > [임계값] OR header_length > [임계값]) AND user_agent NOT IN ([신뢰 리스트])
  2. EDR (프로세스 행위 탐지):
     IF process_name IN ("ImageIO", "WebKit") THEN DETECT IF child_process_created(shell_binaries=["/bin/sh", "/bin/zsh", "/bin/bash"])
  3. 네트워크 (폴리글랏 및 쉘코드 패턴):
     PCAP 분석 중 이미지 매직 바이트 이후에 비정상적인 NOP Sled(\x90\x90...) 또는 알려진 RCE 페이로드 시그니처가 포함된 바이너리 스트림 탐지

• 오탐 튜닝:

  • 고해상도 이미지 업로드가 빈번한 서비스는 request_body_size 임계치를 상향 조정합니다.
  • 단순 Crash 로그만으로는 판단이 어려우므로, 'Crash 발생 $\rightarrow$ 즉시 자식 프로세스 생성'의 상관관계(Correlation) 기반으로 탐지하여 오탐을 줄입니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 0.20388(상위 2.7% 수준의 높은 악용 확률) 및 KEV 등재 사실에 근거하여 'Immediate' 우선순위를 부여합니다.

• 즉시 (긴급 차단):

  • 조치: WAF에서 신뢰되지 않은 외부 소스로부터의 이미지 업로드 엔드포인트 일시 제한 또는 multipart/form-data 요청에 대한 엄격한 Rate Limit 적용.
  • 난이도/영향: 낮음 / 일부 서비스 기능 제약 발생 가능.
  • 검증: 외부 IP에서 이미지 업로드 시 403 Forbidden 응답 확인.

• 단기 (위험 완화):

  • 조치: 단순 확장자 체크가 아닌 파일 매직 바이트 검증을 강화하고, 추정: Sandboxed Parsing(격리된 환경에서 렌더링 후 결과값만 전달) 프로세스를 도입하여 메모리 오염이 호스트 시스템으로 확산되는 것을 방지.
  • 난이도/영향: 보통 / 아키텍처 변경 필요 및 성능 저하 가능성.
  • 검증: 조작된 이미지 투입 시 샌드박스 내에서만 Crash가 발생하고 호스트 시스템은 유지되는지 확인.

• 근본 (해결):

  • 조치: 영향받는 OS 버전의 최신 패치 적용 (iOS/iPadOS 15.8.5, 16.7.12, 18.6.2 / iPadOS 17.7.10 / macOS 13.7.8, 14.7.8, 15.6.1).
  • 난이도/영향: 낮음 / 기기 재부팅 필요 및 사용자 업데이트 유도 마찰 발생.
  • 검증: System Settings $\rightarrow$ General $\rightarrow$ Software Update에서 버전 번호 확인.

• 잔여 리스크: 패치 이후에도 동일 라이브러리의 다른 오프셋에서 유사한 OOB Write 취약점이 존재할 수 있으므로, 지속적인 행위 기반 탐지가 필요합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.20388 · exploit=easy · in_scope=None