보안 업데이트 2008-003 / Mac OS X 10.5.3의 보안 내용 정보

  • 최근 수정일: 28 5월, 2008
  • 문서: HT1897

요약

이 문서에서는 보안 업데이트 2008-003 / Mac OS X 10.5.3에 대해 설명합니다. 보안 업데이트는 소프트웨어 업데이트 환경설정 또는 Apple 다운로드를 통해 다운로드하여 설치할 수 있습니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 릴리즈가 준비될 때까지 보안 문제를 공개, 논의 또는 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 대한 자세한 내용은 "Apple 제품 보안 PGP 키 사용 방법"을 참조하십시오.

가능한 경우 CVE ID를 사용하여 보안 취약점에 대한 추가 정보를 참조할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 Apple 보안 업데이트를 참조하십시오.

적용 제품

제품 보안

보안 업데이트 2008-003 / Mac OS X v10.5.3

  • AFP 서버

    CVE-ID: CVE-2008-1027

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 공유하도록 지정되지 않은 파일에 원격으로 액세스할 수 있습니다.

    설명: 제공되는 파일 또는 디렉토리가 공유하도록 지정된 폴더 내에 있는지 여부를 AFP 서버에서 확인하지 않았습니다. 연결된 사용자나 방문객은 공유하도록 지정된 폴더에 포함되지 않은 파일과 폴더를 포함한 모든 파일과 폴더에 권한만 있으면 액세스할 수 있습니다. 이 업데이트에서는 공유하도록 지정된 폴더에 있지 않은 파일과 폴더에 대해 액세스를 거부하여 이 문제를 해결합니다. 이 문제를 보고한 사람은 Alex deVries와 Robert Rich입니다.

  • Apache

    CVE-ID: CVE-2005-3352, CVE-2005-3357, CVE-2006-3747, CVE-2007-1863, CVE-2007-3847, CVE-2007-4465, CVE-2007-5000, CVE-2007-6388

    사용 대상: Mac OS X Server v10.4.11

    영향: Apache 2.0.55의 여러 취약점

    설명: 여러 취약점을 해결하기 위해 Apache가 버전 2.0.63으로 업데이트되었습니다. 이 중에 가장 심각한 취약점으로 인해 크로스 사이트 스크립팅이 발생할 수 있습니다. 자세한 내용은 Apache 웹 사이트(http://httpd.apache.org)를 통해 볼 수 있습니다. Apache 2.0.x는 Mac OS X Server v10.4.x 시스템에서만 함께 제공됩니다. Mac OS X v10.5.x 및 Mac OS X Server v10.5.x에는 Apache 2.2.x가 함께 제공됩니다. Apache 2.2.x에 영향을 주던 문제는 Mac OS X v10.5.2 및 Mac OS X Server v10.5.2에 대한 보안 업데이트 2008-002에서 해결되었습니다.

  • AppKit

    CVE-ID: CVE-2008-1028

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 악의적으로 제작된 파일을 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: AppKit의 문서 파일 처리에 구현 문제가 발생합니다. AppKit를 사용하는 편집기(예: 텍스트 편집기)에서 악의적으로 제작된 파일을 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 문서 파일을 더 세밀하게 확인하여 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 Unsanity의 Rosyna입니다.

  • Apple Pixlet 비디오

    CVE-ID: CVE-2008-1577

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 파일을 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: Pixlet 코덱을 사용하여 파일을 처리하는 동안 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 동영상 파일을 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 경계 검사를 통해 이 문제를 해결합니다.

  • ATS

    CVE-ID: CVE-2008-1575

    사용 대상: Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 내장 서체가 있는 PDF 문서를 인쇄하면 임의 코드가 실행될 수 있습니다.

    설명: Apple Type Services 서버에서 PDF 파일의 내장 서체를 처리할 때 메모리 손상 문제가 발생합니다. 악의적으로 제작된 내장 서체가 있는 PDF 문서를 인쇄하면 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 내장 서체를 추가로 확인하여 이 문제를 해결합니다. 이 문제는 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 Harvey Mudd College의 Melissa O'Neill입니다.

  • CFNetwork

    CVE-ID: CVE-2008-1580

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 웹 사이트에 방문하면 중요한 정보가 공개될 수 있습니다.

    설명: Safari의 SSL 클라이언트 인증서 처리 과정에 정보 공개 문제가 발생합니다. 웹 서버에서 클라이언트 인증서 요청을 발행하면 키체인에서 첫 번째로 발견되는 인증서가 자동으로 전송되어 이 인증서에 포함된 정보가 공개될 수 있습니다. 이 업데이트에서는 인증서를 보내기 전에 사용자에게 메시지를 표시하는 방법으로 이 문제를 해결합니다.

  • CoreFoundation

    CVE-ID: CVE-2008-1030

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 응용 프로그램에서 특정 방식으로 CFData API를 사용하면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: CoreFoundation에서 CFData 객체를 처리하는 중에 정수 오버플로가 발생하여 힙 버퍼 오버플로를 일으킬 수 있습니다. 응용 프로그램이 잘못된 길이 독립 변수를 사용하여 CFDataReplaceBytes를 호출하는 경우 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 길이 매개변수를 추가로 확인하여 이 문제를 해결합니다.

  • CoreGraphics

    CVE-ID: CVE-2008-1031

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: CoreGraphics에서 PDF 파일을 처리하는 중에 초기화되지 않은 변수 문제가 발생합니다. 악의적으로 제작된 PDF 파일을 여는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 포인터를 적절하게 초기화하여 이 문제를 해결합니다.

  • CoreTypes

    CVE-ID: CVE-2008-1032

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 안전하지 않을 수 있는 특정 내용 유형을 열기 전에 사용자에게 경고가 표시되지 않습니다.

    설명: 이 업데이트에서는 특정 상황(예: 웹 페이지에서 안전하지 않을 수 있는 내용 유형을 다운로드하는 경우)에서 안전하지 않을 수 있다고 플래그를 지정할 시스템의 내용 유형 목록을 확장합니다. 내용 유형은 자동으로 시작되지 않지만 수동으로 열 경우 악성 페이로드가 실행될 수 있습니다. 이 업데이트에서는 Automator, Help, Safari 및 Terminal에서 사용되는 내용 유형을 처리하기 전에 시스템에서 사용자에게 알림을 표시하는 기능을 강화합니다. Mac OS X v10.4에서는 다운로드 확인 기능을 통해 이 기능이 제공됩니다. Mac OS X v10.5에서는 격리 기능을 통해 이 기능이 제공됩니다. 이 문제를 보고한 사람은 Brian Mastenbrook입니다.

  • CUPS

    CVE-ID: CVE-2008-1033

    사용 대상: Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 디버그 로그 기록을 사용하여 암호로 보호된 프린터로 인쇄하면 중요한 정보가 공개될 수 있습니다.

    설명: 디버그 로그 기록을 사용하는 경우 CUPS 일정에서 인증 환경 변수를 확인하는 과정에 문제가 발생합니다. 따라서 암호로 보호된 프린터로 인쇄하는 경우에 사용자 이름, 도메인 및 암호가 공개될 수 있습니다. 이 업데이트에서는 환경 변수를 적절하게 확인하여 이 문제를 해결합니다. 이 문제는 보안 업데이트 2008-002가 설치된 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다.

  • Flash Player 플러그인

    CVE-ID: CVE-2007-5275, CVE-2007- 6243, CVE-2007- 6637, CVE-2007-6019, CVE-2007-0071, CVE-2008-1655, CVE-2008-1654

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 Flash 내용을 열면 임의 코드가 실행될 수 있습니다.

    설명: Adobe Flash Player 플러그인에 여러 가지 문제가 있으며, 그 중 가장 심각한 문제로 인해 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 버전 9.0.124.0으로 업데이트하여 이 문제를 해결합니다. 자세한 내용은 Adobe 웹 사이트(http://www.adobe.com/support/security/bulletins/apsb08-11.html)를 통해 볼 수 있습니다.

  • Help Viewer

    CVE-ID: CVE-2008-1034

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 악의적인 help:topic URL 때문에 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: 도움말 보기에서 help:topic URL을 처리하는 중에 정수 언더플로가 발생하여 버퍼 오버플로를 일으킬 수 있습니다. 악의적인 help:topic URL에 액세스하면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 경계 검사를 통해 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 PTH Consulting의 Paul Haddad입니다.

  • iCal

    CVE-ID: CVE-2008-1035

    사용 대상: Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 iCalendar 파일을 iCal에서 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: iCal 응용 프로그램에서 iCalendar 파일(보통 ".ics" 파일)을 처리하는 중에 use-after-free 문제가 발생할 수 있습니다. 악의적으로 제작된 iCalendar 파일을 iCal에서 열면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 영향을 받는 코드의 참조 횟수 계산 기능을 강화하여 이 문제를 해결합니다. 이 문제는 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 Core Security Technologies의 Rodrigo Carvalho입니다.

  • 유니코드용 다국어 구성 요소

    CVE-ID: CVE-2008-1036

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 특정 웹 사이트에 방문하면 중요한 정보가 공개될 수 있습니다.

    설명: ICU에서 특정 문자 인코딩을 처리하는 중에 변환 문제가 발생합니다. 잘못된 특정 문자 시퀀스가 변환된 출력에 나타나지 않을 수 있습니다. 이에 따라 컨텐츠 필터가 영향을 받을 수 있습니다. 악의적으로 제작된 웹 사이트를 방문하면 크로스 사이트 스크립팅이 발생하여 중요한 정보가 공개될 수 있습니다. 이 업데이트에서는 잘못된 문자 시퀀스를 폴백 문자로 바꾸어 이 문제를 해결합니다.

  • 이미지 캡처

    CVE-ID: CVE-2008-1571

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 악의적으로 제작된 URL에 액세스하면 정보가 공개되는 경우

    설명: Image Capture의 내장된 웹 서버에 경로 유출(path traversal) 문제가 발생합니다. 이로 인해 서버 시스템에 있는 로컬 파일이 공개될 수 있습니다. 이 업데이트에서는 향상된 URL 처리를 통해 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다.

  • 이미지 캡처

     

    CVE-ID: CVE-2008-1572

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 로컬 사용자가 이미지 캡처를 실행하는 다른 사용자의 권한으로 파일을 조작할 수 있습니다.

    설명: 이미지 캡처에서 임시 파일을 처리하는 중에 안전하지 않은 파일 작업이 이루어질 수 있습니다. 이로 인해 로컬 사용자가 이미지 캡처를 실행하는 다른 사용자의 권한으로 파일을 덮어쓰거나 크기를 조절할 이미지의 내용에 액세스할 수 있습니다. 이 업데이트에서는 향상된 임시 파일 처리를 통해 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다.

  • ImageIO

     

    CVE-ID: CVE-2008-1573

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 BMP 또는 GIF 파일을 보면 정보가 공개될 수 있습니다.

    설명: BMP 및 GIF 이미지 디코딩 엔진에서 범위 외부의 메모리 읽기가 발생하여 메모리에 있는 내용이 공개될 수 있습니다. 이 업데이트에서는 BMP 및 GIF 이미지를 추가로 확인하여 이 문제를 처리합니다. 이 문제를 보고한 사람은 Hispasec의 Gynvael Coldwind입니다.

  • ImageIO

     

    CVE-ID: CVE-2007-5266, CVE-2007-5268, CVE-2007-5269

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: libpng 버전 1.2.18의 여러 취약점

    설명: libpng 버전 1.2.18에 여러 가지 취약점이 있으며, 그 중 가장 심각한 취약점으로 인해 원격 서비스 거부가 발생할 수 있습니다. 이 업데이트에서는 버전 1.2.24로 업데이트하여 이 문제를 해결합니다. 자세한 내용은 libpng 웹 사이트(http://www.libpng.org/pub/png/libpng.html)를 통해 볼 수 있습니다.

  • ImageIO

     

    CVE-ID: CVE-2008-1574

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 악의적으로 제작된 JPEG2000 이미지 파일을 보면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: JPEG2000 이미지 파일을 처리하는 중에 정수 오버플로가 발생하여 힙 버퍼 오버플로를 일으킬 수 있습니다. 악의적으로 제작된 JPEG2000 이미지 파일을 보면 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 JPEG2000 이미지를 추가로 확인하여 이 문제를 해결합니다.

  • 커널

     

    CVE-ID: CVE-2008-0177

    사용 대상: Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 원격 공격자가 예상치 않은 시스템 종료를 일으킬 수 있습니다.

    설명: IPComp 헤더가 있는 패킷을 처리하는 중에 발견되지 않는 실패 조건이 발생할 수 있습니다. IPSec 또는 IPv6을 사용하도록 구성된 시스템에 악의적으로 제작된 패킷을 보내면 공격자가 예상치 않은 시스템 종료를 일으킬 수 있습니다. 이 업데이트에서는 실패 조건을 적절하게 확인하여 이 문제를 해결합니다.

  • 커널

     

    CVE-ID: CVE-2007-6359

    사용 대상: Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 로컬 사용자가 예상치 않은 시스템 종료를 일으킬 수 있습니다.

    설명: 커널에서 cs_validate_page 함수의 코드 서명을 처리하는 중에 Null 포인터 디레퍼런스 문제가 발생합니다. 이로 인해 로컬 사용자가 예상치 않은 시스템 종료를 일으킬 수 있습니다. 이 업데이트에서는 코드 서명을 추가로 확인하여 이 문제를 해결합니다. 이 문제는 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다.

  • 로그인 윈도우

     

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 관리되는 클라이언트 환경설정이 적용되지 않을 수 있습니다.

    설명: 이 업데이트에서는 보안 업데이트 2007-004에서 생긴 비보안 문제를 해결합니다. Mac OS X(MCX)의 관리되는 클라이언트에 의해 관리되는 시스템에서, 경쟁 조건 때문에 로그인 윈도우가 특정 환경설정을 적용하지 못할 수 있습니다. 이 업데이트에서는 관리되는 환경설정을 처리하는 중에 경쟁 조건을 제거하여 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5를 실행하는 시스템에 영향을 주지 않습니다.

  • Mail

     

    CVE-ID: CVE-2008-1576

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: SMTP 서버를 통해 IPv6으로 메일을 보내면 응용 프로그램이 예상치 않게 종료되거나, 정보가 공개되거나, 임의 코드가 실행될 수 있습니다.

    설명: 메일에 초기화되지 않은 버퍼 문제가 발생합니다. SMTP 서버를 통해 IPv6으로 메일을 보내는 경우, 메일에서 일부가 초기화되지 않은 메모리를 포함하는 버퍼를 사용하여 메시지를 받는 사람과 메일 서버 관리자에게 중요한 정보가 공개될 수 있습니다. 이로 인해 응용 프로그램이 예기치 않게 중단되거나 임의 코드가 실행될 수도 있습니다. 이 업데이트에서는 변수를 적절하게 초기화하여 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 The Pennsylvania State University의 Derek Morr입니다.

  • ruby

     

    CVE-ID: CVE-2007-6612

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: 원격 공격자가 임의 파일을 읽을 수 있습니다.

    설명: Mongrel이 DirHandler의 디렉토리 이동(directory traversal) 문제를 해결할 수 있도록 버전 1.1.4로 업데이트되었습니다. 이 문제로 인해 중요한 정보가 공개될 수 있습니다. 자세한 내용은 Mongrel 웹 사이트(http://mongrel.rubyforge.org)를 통해 볼 수 있습니다.

  • 단일 로그인

     

    CVE-ID: CVE-2008-1578

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.2, Mac OS X Server v10.5 - v10.5.2

    영향: sso_util에 입력한 암호가 다른 로컬 사용자에게 노출됩니다.

    설명: sso_util 명령줄 도구는 해당 변수로 암호를 전달해야 하기 때문에 다른 로컬 사용자에게 암호가 노출될 수 있습니다. 사용자, 관리자, KDC 관리 암호 등의 암호가 노출될 수 있습니다. 이 업데이트에서는 암호 매개변수를 선택 사항으로 만들고, 필요한 경우 sso_util에서 암호 프롬프트를 표시합니다. 이 문제를 보고한 사람은 Hauptman Woodward Institute의 Geoff Franks입니다.

  • 위키 서버

     

    CVE-ID: CVE-2008-1579

    사용 대상: Mac OS X Server v10.5 - v10.5.2

    영향: 원격 공격자가 서버에서 Wiki 서버를 사용하여 유효한 사용자 이름을 확인할 수 있습니다.

    설명: 존재하지 않는 블로그에 액세스한 경우 Wiki 서버에 정보 공개 문제가 발생합니다. 공격자는 오류 메시지에 표시된 정보를 이용하여 로컬 사용자 이름을 추측할 수 있습니다. 이 업데이트에서는 오류 메시지를 더 세밀하게 처리하여 이 문제를 해결합니다. 이 문제는 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 University of Cincinnati의 Don Rainwater입니다.

 

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.