[단독공격] 분석 — CVE-2025-43300

• 심각도 critical · CVSS 10.0 · EPSS 0.20388 · 악용난이도 easy · KEV

• 트리거 조건: 악의적으로 조작된 이미지 파일(예: JPEG/HEIC) 을 iOS·iPadOS·macOS 의 기본 이미지 디코더가 자동으로 파싱할 때 경계 검사 미비로 인해 메모리 버퍼를 초과 쓰기합니다.
• 공격 표면:
  • ImageIO, QuickLook, Safari, Mail, Messages 등 시스템 전역에서 이미지 파일을 열거나 썸네일을 생성하는 모든 엔드포인트.
  • 네트워크 프로토콜: HTTP/HTTPS 로 전달되는 이미지, MMS, iMessage 첨부파일, AirDrop 등 UI‑없는 입력(AV:N, UI:N).
• 단계별 흐름
  1. 정찰 – 목표 기기의 OS 버전과 설치된 앱을 파악하고, 취약 버전(iOS 15.8.5 미만·iPadOS 15.8.5‑18.6.2 등) 여부를 확인합니다.
  2. 초기 접근 – 피싱 메일, 악성 웹사이트, 혹은 제3자 앱 스토어에 이미지 파일을 삽입해 사용자가 클릭하거나 자동 썸네일 생성이 트리거되도록 유도합니다(프리‑인스톨 필요 없음).
  3. 실행·권한 획득 – 이미지 파싱 시 OOB write 로 커널/시스템 메모리를 손상시켜 임의 코드 실행을 달성합니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N 와 일치하며, 메모리 손상이 성공하면 전체 시스템 권한(C:H/I:H/A:H) 을 획득합니다.
  4. 지속 – 얻은 루트 권한으로 LaunchDaemon·LaunchAgent 를 설치하거나 MDM 프로파일을 조작해 영구적 접근을 확보할 수 있습니다(추정).
  5. 영향 – 데이터 유출, 시스템 파괴, 서비스 거부 등 전면적인 기밀성·무결성·가용성 손실이 발생합니다.

다중 소스 교차검증 결과 일관성이 확인됐으며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS 0.20388(백분위 0.9723) 로 실제 악용 가능성이 매우 높음이 실측값으로 입증되었습니다.

악용 가능성: 이 취약점은 네트워크를 통해 전달되는 이미지 파일을 처리하는 단계에서 발생하므로 공격자는 원격(AV:N)으로 악성 이미지를 전송하기만 하면 됩니다. 공격 난이도는 낮게 평가된(L) 이유는 메모리 경계 검증 오류가 단순히 입력 데이터의 크기와 형식만 조작하면 트리거되며, 사전 권한(PR:N)이나 사용자 상호 작용(UI:N)이 전혀 요구되지 않기 때문입니다. EPSS 0.20388이라는 수치는 실제 환경에서 20 %에 가까운 확률로 악용될 가능성을 시사하고, KEV(Known Exploited Vulnerabilities) 목록에 등재된 점은 이미 공격자가 이를 활용한 사례가 존재함을 의미합니다. 공격 표면은 이미지 파싱 라이브러리와 해당 파일을 수신하는 API 엔드포인트이며, 파일 이름·크기·포맷 파라미터가 직접적인 트리거 요소입니다. 따라서 초기 정찰 단계에서 대상 시스템이 이미지 업로드 기능을 제공하는지 확인하고, 악성 이미지를 전송해 메모리 손상을 일으키면 권한 상승이나 코드 실행까지 이어질 수 있습니다. 이러한 흐름은 별도의 권한 획득 절차 없이도 바로 원격 코드 실행(RCE) 단계에 도달할 가능성을 높이며, 방어자는 해당 엔드포인트의 입력 검증 강화를 최우선 과제로 삼아야 합니다.

• 성공 시 공격자는 대상 기기의 커널 수준 권한을 획득해 모든 파일·네트워크 트래픽에 접근하고, 임의 코드를 실행하거나 시스템을 완전히 마비시킬 수 있습니다.
• iOS·iPadOS·macOS 전 제품군(8개 버전) 에 걸쳐 동일한 이미지 디코더가 사용되므로 영향 범위가 광범위합니다.

• 유형: CWE‑787 Out‑of‑bounds Write (Memory‑Corruption).
• 가능한 체인 패턴:
  • 이미지 디코딩 OOB → 커널 메모리 손상 → 권한 상승 (CWE‑269) → 임의 코드 실행 → 악성 서비스 설치/데이터 탈취.
• 현재 알려진 직접적인 연계 CVE 는 없으며, 동일 이미지 파싱 라이브러리를 공유하는 다른 메모리 손상 취약점(CVE‑2024‑xxxx 등)과 결합될 경우 공격 경로가 단축될 수 있습니다(추정).

• 이미지 디코딩 프로세스(com.apple.ImageIO, quicklookd) 의 비정상적인 종료·크래시 로그.
• 커널 패닉 또는 메모리 보호 위반(Kernel‑Trap) 이벤트가 발생한 직후 신규 프로세스가 루트 권한으로 실행되는 경우.
• MDM/EDR 에서 “이미지 파일 로드 → 비정상적인 메모리 쓰기” 시그니처(예: write syscall 주소가 이미지 파싱 모듈 외부) 를 감시합니다.

1. 패치 적용 – iOS 15.8.5·iPadOS 15.8.5·iOS 16.7.12·iPadOS 16.7.12·iOS 18.6.2·iPadOS 18.6.2·iPadOS 17.7.10·macOS 13.7.8 등 최신 버전으로 즉시 업데이트합니다.
2. 이미지 파일 차단 – 신뢰할 수 없는 출처의 이미지 파일 열기를 MDM 정책으로 제한하고, 자동 썸네일 생성 기능을 비활성화합니다.
3. 앱 허용 리스트 – 시스템 기본 이미지 뷰어 외에 서드파티 앱이 이미지 디코딩을 수행하지 못하도록 App Allowlist 를 적용합니다.
4. 모니터링 강화 – 위 탐지 지표를 기반으로 실시간 로그 수집·분석을 구축하고, 비정상적인 크래시가 감지되면 자동 격리 절차를 실행합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.20388 · exploit=easy · in_scope=None