[공격] 분석 — CVE-2025-49794

• 심각도 critical · CVSS 9.1 · EPSS 0.00669 · 악용난이도 moderate

(1) 트리거 조건: libxml2 라이브러리를 사용하여 XML을 파싱할 때, 특히 Schematron 관련 <sch:name path="..."/> 요소 내의 XPath 표현식을 처리하는 과정에서 메모리 해제 후 재참조(Use-After-Free)가 발생함. 공격자는 특수하게 조작된 XPath 쿼리가 포함된 XML 문서를 입력값으로 제공하여 이를 트리거함.

(2) 공격 단계:

• 정찰: 타겟 애플리케이션이 libxml2를 사용하여 XML 데이터를 처리하는지, 특히 Schematron 검증 로직을 사용하는지 확인.
• 초기 접근: HTTP POST 요청의 Body나 API 파라미터 등 XML 입력을 받는 엔드포인트에 조작된 XML 파일 업로드/전송. (전제: 외부 입력값이 libxml2 파서로 전달되어야 함)
• 실행 및 권한 획득: UAF를 통해 메모리 레이아웃을 조작(Heap Spraying 등 추정)하여 함수 포인터를 덮어쓰고 임의 코드 실행(RCE) 시도. (지표: 프로세스 비정상 종료 또는 예기치 않은 시스템 콜 발생)
• 영향: 원격 코드 실행 성공 시 해당 프로세스의 권한으로 시스템 제어권 획득.

(3) 공격 표면: XML 기반 설정 파일 업로드 기능, SOAP/REST API 엔드포인트, XML 스키마 검증 서비스 등 libxml2가 백엔드에서 동작하는 모든 입력 인터페이스.

(4) CVSS 벡터 분석:

• AV:N / AC:L: 네트워크를 통해 특별한 조건 없이 전송 가능함.
• PR:N / UI:N: 인증이나 사용자 상호작용이 필요 없는 완전 외부 공격 가능.
• I:H / A:H: 무결성 파괴 및 가용성 상실(Crash)이 직접적으로 발생함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 가리키듯, 인증이나 사용자 상호작용 없이 네트워크를 통해 전달된 악성 XML 파일 하나만으로 트리거 가능한 높은 접근성을 가집니다. 공격 표면은 libxml2 라이브러리를 사용하여 XML을 파싱하고 특히 XPath 평가 및 Schematron 검증 기능을 수행하는 모든 엔드포인트와 입력 파라미터에 노출되어 있습니다. 구체적으로 <sch:name path="..."/> 요소가 포함된 특수하게 조작된 XML 문서가 입력값으로 전달될 때 Use-After-Free(UAF)가 발생하며, 이는 메모리 오염을 통한 원격 코드 실행(RCE)이나 서비스 거부(DoS)로 이어질 수 있는 치명적인 경로입니다. EPSS 수치가 0.00669로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격이 관측되지 않았음을 의미하지만, 이는 이론적 심각도가 낮아서가 아니라 트리거를 위한 정교한 XML 구조 설계라는 진입장벽 때문입니다. 따라서 공격자는 타겟 시스템이 Schematron 검증을 사용하는지 확인하는 정찰 단계를 거친 후, 메모리 레이아웃을 조작하여 UAF 지점을 제어하는 방식으로 악용할 가능성이 큽니다. 결과적으로 단순한 크래시를 넘어 실제 익스플로잇으로 이어질 확률은 낮으나, 라이브러리의 범용성을 고려할 때 잠재적 공격 표면이 매우 넓은 Moderate 등급의 위협입니다.

(1) 기술적 위험:

• 서비스 중단 (DoS): UAF로 인한 세그멘테이션 폴트(Segmentation Fault) 발생 시 프로세스가 즉시 크래시되어 서비스 불능 상태가 됨.
• 원격 코드 실행 (RCE): 메모리 오염을 통해 공격자가 임의의 명령어를 실행할 수 있으며, 이는 시스템 전체 장악으로 이어질 수 있음.

(2) 비즈니스 영향:

• 핵심 데이터 처리 모듈의 중단으로 인한 서비스 가용성 상실.
• RCE 성공 시 내부망 침투 및 민감 데이터 유출로 인한 컴플라이언스 위반 및 신뢰도 하락.

(1) 체이닝 경로:

• 추정: Information Leak (Memory Address Disclosure) $\rightarrow$ UAF (CVE-2025-49794) $\rightarrow$ RCE. ASLR과 같은 현대적 메모리 보호 기법을 우회하기 위해, 먼저 메모리 주소를 알아낼 수 있는 다른 취약점과 체이닝될 가능성이 높음.
• 추정: Unauthenticated File Upload $\rightarrow$ libxml2 Parsing $\rightarrow$ RCE. 인증되지 않은 사용자가 XML 파일을 업로드할 수 있는 경로가 있다면 공격 진입 장벽이 극도로 낮아짐.

(2) 유형 수준 분석: 메모리 손상 취약점 특성상, 힙 풍수(Heap Feng Shui) 기법을 통해 할당된 메모리 영역을 정밀하게 제어하는 패턴과 결합될 수 있음.

(1) 로그 지표: 애플리케이션 로그 내 Segmentation fault, SIGSEGV 등의 프로세스 크래시 기록 및 libxml2 관련 에러 메시지 급증.

(2) 탐지 규칙 예시:

• WAF/IDS 패턴: XML 요청 본문 내 Schematron 네임스페이스와 특정 경로 패턴 탐지.
  • Pattern: /<sch:name\s+path=["'].*?["']\s*\/>/i
• SIEM 쿼리 (의사코드): SELECT * FROM logs WHERE event_id = 'process_crash' AND process_name = 'target_app' AND error_type = 'SIGSEGV'

(3) 오탐 시나리오 및 튜닝: 정상적인 Schematron 검증 문서에서도 위 패턴이 나타날 수 있음. 단순히 태그 존재 여부가 아니라, 비정상적으로 길거나 반복적인 XPath 구문이 포함된 경우로 임계값을 설정하여 튜닝 필요.

• 즉시(긴급 차단): WAF에서 <sch:name path=...> 패턴이 포함된 XML 요청을 일시적으로 차단하거나, Schematron 검증 기능을 비활성화함. (난이도: 저 / 영향: 일부 기능 작동 불가)
• 단기(완화): libxml2 파서의 입력값 크기 제한 및 엄격한 스키마 검증 적용. 샌드박스 환경에서 XML 파싱을 수행하여 프로세스 크래시가 시스템 전체로 확산되는 것을 방지. (난이도: 중 / 영향: 성능 저하 가능성)
• 근본(해결): libxml2를 최신 보안 패치 버전으로 업데이트. (난이도: 저 / 영향: 라이브러리 의존성 확인 필요, 재시작 필요). 검증 방법은 패치 후 동일한 XML 샘플을 입력하여 크래시 발생 여부 확인.

[파이프라인 근거] 본 분석은 다중 소스에서 일관성이 확인된 데이터를 기반으로 하며, CVSS 9.1의 높은 이론적 심각도에도 불구하고 실측 EPSS(0.00669)가 낮아 실제 악용률은 현재 moderate 수준인 점을 반영하였습니다. 이에 따라 대응 우선순위를 scheduled(이번 주 내)로 결정하여 효율적인 리소스 배분을 제안합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00669 · exploit=moderate · in_scope=None