CVE-2025-31200: CoreAudio APAC 채널 재매핑 버퍼 오버플로우

취약점 개요

CVE-2025-31200은 Apple의 CoreAudio 프레임워크에서 Apple Positional Audio Codec (APAC) 디코더에 영향을 미치는 버퍼 오버플로우 취약점입니다. 이 버그는 APACHOADecoder::DecodeAPACFrame 내의 APACChannelRemapper::Process 함수에 존재합니다.

영향을 받는 시스템:

• iOS < 18.4.1
• macOS < 15.4.1
• CoreAudio 프레임워크를 사용하는 모든 Apple 기기

기술적 세부 사항

근본 원인

취약점은 채널 레이아웃 검증의 논리 오류에서 비롯됩니다:

1. mRemappingArray는 전역 채널 레이아웃의 mChannelLayoutTag 하위 2바이트를 기준으로 크기가 결정됩니다
2. 오디오 프레임 처리 중 디코더는 별도의 재매핑 채널 레이아웃 개수를 사용하여 이 배열을 순회합니다
3. 이 두 채널 개수 간의 불일치를 생성함으로써 공격자는 메모리 경계를 넘는 접근을 유발할 수 있습니다

공격 벡터

익스플로잇은 다음과 같은 악성 APAC 오디오 파일을 제작하여 작동합니다:

• 전역 채널 레이아웃: 채널 4개 (배열 할당 크기 제어)
• 재매핑 채널 레이아웃: 채널 64개 (반복 횟수 제어)
• 결과: 채널 재매핑 중 16배 메모리 경계를 넘는 접근

개념 증명

이 리포지토리에는 이 취약점을 익스플로잇하는 악성 APAC 쿠키를 생성하는 Python 구현이 포함되어 있습니다.

파일

• poc.py - 주요 익스플로잇 생성기
• generate_audio_simple.py - 오디오 파일 생성
• caf_utils.py - APAC 쿠키 조작 유틸리티
• parser.py - 쿠키 파싱 및 익스플로잇 페이로드 생성
• test_exploit.py - 익스플로잇 검증 및 분석
• create_malicious_mp4.py - MP4 페이로드 생성

사용법

# Generate malicious APAC cookie
pip install numpy construct
python3 poc.py

# Verify exploit payload
python3 test_exploit.py

# Create malicious MP4 (requires macOS afconvert)
python3 create_malicious_mp4.py

스크립트는 다음을 생성합니다:

• 무해한 테스트 오디오 파일 (WAV, M4A, CAF)
• exploit_cookie.dat - 채널 개수 불일치가 있는 악성 APAC 쿠키
• malicious_apac.m4a - 테스트 준비가 완료된 무기화된 MP4 파일

익스플로잇 과정

1. APAC 쿠키에 채널 레이아웃 불일치 생성 (poc.py)
2. 페이로드 무결성 확인 (test_exploit.py)
3. 쿠키를 MP4/M4A 오디오 컨테이너에 삽입 (create_malicious_mp4.py)
4. 취약한 시스템에 악성 파일 배포
5. 오디오 재생을 통해 처리 트리거 (AVAudioPlayer, 웹 브라우저 등)
6. APACChannelRemapper::Process에서 메모리 경계를 넘는 접근 발생

테스트 환경

취약한 시스템에서 익스플로잇을 확인하려면:

• 대상: macOS < 15.4.1 또는 iOS < 18.4.1
• 도구: Guard Malloc이 활성화된 Xcode
• 예상 충돌: EXC_BAD_ACCESS와 함께 APACChannelRemapper::Process
• 디버깅: LLDB를 사용하여 메모리 손상 패턴 검사

영향 및 익스플로잇 가능성

즉각적 영향

• 서비스 거부: 악성 오디오 처리 시 확실한 충돌
• 메모리 손상: 경계를 넘는 읽기/쓰기 작업
• 애플리케이션 종료: 악성 오디오를 처리하는 모든 앱이 충돌함

고급 익스플로잇

신중한 페이로드 제작을 통해 이 취약점은 잠재적으로 다음에 활용될 수 있습니다:

코드 실행: 경계를 넘는 쓰기 작업을 제어함으로써 공격자는 다음을 수행할 수 있습니다:

• 함수 포인터나 가상 테이블 항목 덮어쓰기
• 힙 메타데이터 손상을 통해 임의 쓰기 기본 요소 달성
• 전체 시스템 손상을 위해 다른 취약점과 연결

샌드박스 탈출: CoreAudio는 다양한 보안 컨텍스트에서 실행되므로:

• HTML5 오디오 요소를 통한 브라우저 익스플로잇
• 오디오 첨부 파일을 통한 이메일 클라이언트 익스플로잇
• mediaserverd의 시스템 서비스 익스플로잇

원격 공격 시나리오:

• 악성 오디오 콘텐츠를 통한 웹 기반 공격
• 오디오 메시지 첨부 파일을 통한 메시징 앱 익스플로잇
• 악성 오디오 파일을 통한 이메일 기반 공격
• 악성 미디어 콘텐츠의 드라이브 바이 다운로드

공격 벡터

• 웹 브라우저 - APAC 인코딩으로 HTML5 오디오/비디오 처리
• 미디어 플레이어 및 스트리밍 애플리케이션
• 메시징 애플리케이션 - 오디오 첨부 파일 처리
• 이메일 클라이언트 - 멀티미디어 콘텐츠 처리
• 시스템 미디어 서비스 - 오디오 파일 자동 처리

완화 조치

Apple은 이 취약점을 다음 버전에서 해결했습니다:

• iOS 18.4.1 (2025년 4월)
• macOS 15.4.1 (2025년 4월)

수정 사항은 처리 전에 전역 레이아웃과 재매핑 레이아웃 간의 채널 개수를 검증하여 버퍼 오버플로우를 유발하는 불일치를 방지합니다.

면책 조항

이 개념 증명은 교육 및 연구 목적으로만 제공됩니다. 이는 Apple CoreAudio 프레임워크의 중요한 보안 취약점을 시연하여 보안 연구자들이 공격 메커니즘을 이해하고 방어 조치를 개선하는 데 도움을 주기 위한 것입니다.