[KRCERT]美 CISA 발표 주요 Exploit 정보공유(Update. 2025-06-05)

뉴스 요약

Google Chromium V8 엔진에 out-of-bounds read/write 취약점(CVE-2025-5419)이 발견되었습니다. 공격자는 특수하게 제작된 HTML 페이지를 통해 heap corruption을 발생시켜 원격 코드 실행을 할 수 있습니다. Google Chrome, Microsoft Edge, Opera 등 Chromium 기반 웹 브라우저들이 영향을 받습니다. 벤더의 지침에 따라 완화 조치를 적용하거나, 클라우드 서비스의 경우 BOD 22-01 지침을 따르고, 완화 조치를 사용할 수 없는 경우 제품 사용을 중단해야 합니다.

핵심 포인트

• Google Chromium V8 엔진의 취약점으로 원격 코드 실행 가능성 존재
• Crafted HTML 페이지를 통해 Heap Corruption 유발
• Google Chrome, Microsoft Edge, Opera 등 Chromium 기반 브라우저 영향
• 완화 조치 적용, BOD 22-01 지침 준수 또는 제품 사용 중단 필요

기술 세부 내용

1️⃣ CVE-2025-5419: Chromium V8 Out-of-Bounds Read/Write Vulnerability

• 취약점 종류: Out-of-bounds Read/Write (범위를 벗어난 읽기/쓰기)
• 영향: Heap Corruption (힙 메모리 손상)을 통해 원격 코드 실행(Remote Code Execution) 가능성
• 공격 벡터: 악의적으로 제작된 HTML 페이지
• 대상: Google Chromium V8 엔진
• 영향받는 소프트웨어: Google Chrome, Microsoft Edge, Opera 등 Chromium 기반 웹 브라우저
• 취약점 설명: V8 엔진이 JavaScript 코드를 처리하는 과정에서 메모리 경계 검사를 제대로 수행하지 않아, 공격자가 범위를 벗어난 메모리 영역에 접근하여 데이터를 읽거나 쓸 수 있습니다. 이로써 공격자는 프로그램의 흐름을 변경하고 임의의 코드를 실행할 수 있습니다.
• 완화 방안:
  • 벤더(Google)에서 제공하는 보안 패치 적용
  • 클라우드 서비스의 경우 BOD 22-01 지침 준수
  • 완화 조치가 없는 경우, 영향받는 제품 사용 중단 ⛔
• 권고: 사용자는 최신 버전의 웹 브라우저를 사용하고, 알 수 없는 출처의 웹 페이지 접속을 자제해야 합니다. ️

2️⃣ Heap Corruption

• Heap(힙)은 프로그램이 동적으로 메모리를 할당하고 해제하는 메모리 영역입니다.
• Heap Corruption(힙 손상)은 프로그램이 의도하지 않은 방식으로 힙 메모리의 내용이 변경되는 것을 의미합니다.
• Out-of-bounds read/write 취약점은 힙 손상의 주요 원인 중 하나입니다.
• 힙 손상은 프로그램 충돌, 예기치 않은 동작, 그리고 원격 코드 실행과 같은 심각한 보안 문제로 이어질 수 있습니다.

3️⃣ BOD 22-01

• 미국 연방 정부 기관의 사이버 보안을 강화하기 위한 지침
• 클라우드 서비스 공급자와 연방 정부 기관 간의 책임 분담 명확화
• 클라우드 서비스의 보안 사고 발생 시 신속한 대응 및 복구 지원

 

출처: https://knvd.krcert.or.kr/detailSecNo.do?IDX=6493