[공격] 분석 — CVE-2025-49795

• 심각도 high · CVSS 7.5 · EPSS 0.00475 · 악용난이도 moderate

1. 트리거 조건: libxml2 라이브러리가 XML 문서를 파싱하고 특정 XPath 표현식을 처리하는 과정에서, 유효하지 않거나 조작된 경로/노드 참조가 발생할 때 메모리의 NULL 주소에 접근(Dereference)하여 프로세스가 즉시 크래시되는 결함임.
2. 공격 단계:
   • 정찰: 타겟 애플리케이션이 XML 데이터를 수신하고 XPath를 통해 데이터를 쿼리하는 기능(예: SOAP API, 설정 파일 로드, XML 기반 데이터 필터링)이 있는지 확인.
   • 초기 접근: 인증되지 않은 상태(PR:N)에서 네트워크(AV:N)를 통해 조작된 XML 페이로드를 전송.
   • 실행: 애플리케이션 내부의 libxml2 엔진이 XPath 표현식을 해석하는 순간 NULL pointer dereference 발생.
   • 영향: 프로세스 비정상 종료(Segmentation Fault)로 인한 서비스 가용성 상실.
3. 공격 표면:
   • XML 입력을 받는 모든 엔드포인트 및 파라미터.
   • libxml2를 사용하는 백엔드 애플리케이션의 XPath 처리 함수.
4. CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N은 공격자가 특별한 권한이나 사용자 상호작용 없이, 단순한 네트워크 요청만으로 낮은 난이도(AC:L)로 서비스를 마비시킬 수 있음을 의미함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 가리키듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 XML 데이터를 전송하는 것만으로 트리거되는 낮은 진입 장벽을 가집니다. 특히 libxml2 라이브러리의 XPath 표현식 처리 과정에서 발생하는 NULL pointer dereference는 복잡한 메모리 레이아웃 조작 없이도 프로세스를 즉각적으로 크래시시키는 DoS(Denial of Service) 공격으로 직결됩니다. EPSS 수치가 0.00475로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격이 관찰되지 않음을 의미하지만, 이는 이론적 심각도가 낮아서가 아니라 해당 라이브러리가 백엔드 깊숙이 내장되어 있어 직접적인 노출 지점을 찾는 정찰 단계가 선행되어야 하기 때문입니다. 실제 공격 표면은 XML 파싱 기능을 제공하는 API 엔드포인트나 XPath 쿼리를 입력값으로 받는 설정 파일 업로드, 데이터 요청 파라미터 등이 됩니다. 결과적으로 공격자는 대상 서비스가 libxml2를 사용하여 외부 입력값을 기반으로 XPath 연산을 수행하는지 확인한 후, 비정상적인 XML 구조를 주입함으로써 서비스 가용성을 즉각적으로 무력화할 수 있는 실전적 위협을 보유하고 있습니다.

1. 기술적 위험:
   • 서비스 중단(DoS): 단일 요청만으로 처리 프로세스를 크래시시킬 수 있으며, 자동 재시작 메커니즘이 없다면 서비스가 완전히 중단됨.
2. 비즈니스 영향:
   • 가용성 침해: 핵심 비즈니스 로직이 XML 기반으로 동작할 경우 전체 서비스 다운타임 발생.
   • 신뢰도 하락: 외부 공격자에 의한 반복적인 서비스 장애로 인한 SLA 미준수 및 고객 신뢰 저하.

1. 취약점 체이닝:
   • 추정: DoS $\rightarrow$ Fail-open 상태 유도: 특정 보안 모듈이나 인증 게이트웨이가 libxml2 크래시로 인해 중단되었을 때, 시스템이 'Fail-open'(제한 없이 통과) 상태가 된다면 이후 다른 취약점을 이용해 내부망에 접근하는 경로로 활용될 수 있음.
   • 추정: Resource Exhaustion $\rightarrow$ DoS: XPath 표현식을 복잡하게 구성하여 CPU/Memory 점유율을 높이는 자원 고갈 공격과 병행하여 시스템 전체의 응답성을 마비시키는 체이닝 가능.

1. 로그 지표:
   • 애플리케이션 로그 내 Segmentation fault, SIGSEGV 발생 기록.
   • 커널 로그(dmesg)에서 libxml2 관련 라이브러리 주소의 메모리 액세스 위반 기록.
2. 탐지 규칙 예시:
   • WAF/IDS 패턴: XML 요청 내 XPath 특수 문자 및 비정상적으로 긴 경로 패턴 탐지.
     • Pattern: /(?:xpath|query).+?(\[|@|\/)/i (단순 예시, 실제는 페이로드 구조 분석 필요)
   • SIEM 쿼리: 동일 소스 IP에서 짧은 시간 내에 다수의 프로세스 크래시 로그(status=500 및 fault 키워드)가 발생하는지 모니터링.
3. 오탐 시나리오: 정상적인 대용량 XML 처리 중 메모리 부족으로 인한 크래시와 구분 필요. 요청 페이로드의 크기가 작음에도 불구하고 즉각적으로 크래시가 발생하는 패턴을 추적하여 튜닝.

• 즉시(긴급 차단): WAF에서 비정상적인 XPath 구문이나 특수 문자가 포함된 XML 요청을 차단하는 시그니처 적용 (난이도: 저 / 영향: 낮음 / 검증: 페이로드 전송 테스트).
• 단기(완화): libxml2를 사용하는 프로세스를 격리된 컨테이너나 샌드박스 환경에서 실행하고, 크래시 발생 시 자동 재시작하는 오케스트레이션 설정 (난이도: 중 / 영향: 성능 저하 가능성 / 검증: 강제 종료 후 복구 시간 측정).
• 근본(해결): libxml2 최신 보안 패치 버전으로 업데이트. 다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, EPSS 0.00475로 실제 악용 확률은 낮으나 CVSS 7.5의 잠재적 위험이 크므로 이번 주 내(scheduled) 업데이트 권고 (난이도: 중 / 영향: 라이브러리 의존성 체크 필요 / 검증: 버전 확인 및 회귀 테스트).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00475 · exploit=moderate · in_scope=None