alphabugx/cve-2025-54957CVE-2025-54957에 대한 개념 증명 익스플로잇으로, Dolby의 DDPlus 통합 디코더에서 발생하는 out-of-bounds 쓰기 취약점을 악용하여 RCS 오디오 메시지를 통해 Android에서 0-클릭 크래시를 시연합니다.
Dolby의 DDPlus 통합 디코더가 파일을 처리할 때, evolution 데이터가 처리되는 과정에서 범위를 벗어난 쓰기(out of bounds write)가 발생할 수 있습니다. 디코더는 evolution 정보를 더 큰 구조체에 포함된 크고 힙과 유사한 연속 버퍼에 기록하는데, 한 번의 쓰기에 대한 길이 계산이 정수 래핑(integer wrap)으로 인해 오버플로될 수 있습니다. 이로 인해 '할당된(allocated)' 버퍼가 너무 작아지고, 이후 쓰기에 대한 범위 초과 검사가 무력화됩니다. 이로 인해 구조체의 이후 멤버들이 덮어써질 수 있으며, 여기에는 다음 syncframe이 처리될 때 기록되는 포인터도 포함됩니다.
Android에서는 이 취약점이 0-click 취약점입니다. Android는 사용자가 기기를 조작하지 않아도 수신되는 모든 오디오 메시지와 오디오 첨부 파일을 이 디코더를 사용하여 로컬에서 전사(transcription)를 위해 디코딩하기 때문입니다.
이 코드는 MacOS에도 존재하지만, 사전 처리 검사로 인해 이 버그에 도달할 수 있는지는 명확하지 않습니다.
이 취약점의 영향을 받는 기기를 추가로 조사하면서 이 버그를 계속 업데이트할 예정입니다.
dolby_android_crash.mp4 -- Android에서 직접 크래시를 유발하는 컨테이너화된 파일 dolby_android_crash.ec3 -- Android 크래시를 유발하는 비트스트림 dolby_evo_crash32.ec3 -- 32비트 대상에서 크래시를 유발하는 비트스트림 (위 비트스트림은 64비트 대상에서만 크래시 발생)
이 문제를 재현하는 가장 쉬운 방법은 Android 기기에서 dolby_android_crash.mp4를 재생하는 것입니다.
0-click으로 문제를 재현하려면:
테스트 Android 기기를 설정하여 대상 Android 기기에 RCS 메시지를 보낼 수 있도록 합니다.
테스트 기기에서 RCS를 열고 음성 메시지 아이콘을 길게 눌러 음성 메시지를 생성하되, 전송하지는 마십시오.
다음을 실행합니다:
adb -s TEST_DEVICE shell ls -l /data/user/0/com.google.android.apps.messaging/cache/mediascratchspace/
그리고 가장 최근에 기록된 파일의 이름을 확인합니다 (일부 파일은 *.m4a 확장자를 가지며, 이 파일은 확장자가 없는 파일입니다).
adb -s TEST_DEVICE push dolby_android_crash.mp4 /data/user/0/com.google.android.apps.messaging/cache/mediascratchspace/FILENAME
음성 메시지를 전송합니다.
대상 기기의 C2 프로세스가 크래시되어야 합니다.
이 버그를 제출한 이후, Dolby 통합 디코더를 통합한 기기를 조사했습니다. 위 파일을 사용하여 다음 기기에서 크래시를 재현했습니다:
Microsoft는 이 문제에 대한 권고를 게시했습니다: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54957 ChromeOS도 다음 릴리스의 바이너리에서 이 문제를 수정했지만, 이 버그는 권고에 언급되지 않았습니다: https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-chromeos_18.html