Security Update 2008-004 및 Mac OS X 10.5.4의 보안 내용 정보

  • 최근 수정일: 07 7월, 2008
  • 문서: HT2163

요약

이 도큐먼트에서는 소프트웨어 업데이트 환경설정 또는 Apple Downloads를 통해 다운로드하여 설치할 수 있는 Security Update 2008-004 및 Mac OS X 10.5.4의 보안 내용에 대해 설명합니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 릴리즈가 준비될 때까지 보안 문제를 공개, 토론 또는 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 대한 자세한 내용은 "Apple 제품 보안 PGP 키 사용 방법"을 참조하십시오.

가능한 경우 CVE ID를 사용하여 취약점에 대한 추가 정보를 참조할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 "Apple 보안 업데이트"를 참조하십시오.

 

적용 제품

제품 보안

Security Update 2008-004 및 Mac OS X v10.5.4

  • Alias Manager

    CVE-ID: CVE-2008-2308

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 악의적으로 제작된 볼륨 마운트 정보가 포함된 가상본을 확인하는 경우 예상치 않게 응용 프로그램이 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: 가상본 데이터 구조에서 AFP 볼륨 마운트 정보를 처리할 때 메모리 손상 문제가 발생합니다. 악의적으로 제작된 볼륨 마운트 정보가 포함된 가상본을 확인하는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트는 가상본 데이터 구조를 추가 검증하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5.1 이하를 실행하는 Intel 기반 시스템에만 영향을 줍니다.

  • CoreTypes

    CVE-ID: CVE-2008-2309

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 안전하지 않을 수 있는 특정 내용 유형을 열기 전에 사용자에게 경고가 표시되지 않습니다.

    설명: 이 업데이트에서는 특정 상황(예: 웹 페이지에서 안전하지 않을 수 있는 내용 유형을 다운로드하는 경우)에서 안전하지 않을 수 있다고 플래그를 지정할 시스템의 내용 유형 목록에 .xht 및 .xhtm 파일을 추가합니다. 내용 유형은 자동으로 시작되지 않지만 수동으로 열 경우 악성 페이로드가 실행될 수 있습니다. 이 업데이트는 시스템에서 .xht 및 .xhtm 파일을 처리하기 전에 사용자에게 알리는 기능을 개선합니다. Mac OS X v10.4에서는 다운로드 확인 기능을 통해 이 기능이 제공됩니다. Mac OS X v10.5에서는 격리 기능을 통해 이 기능이 제공됩니다. 이 문제를 보고한 사람은 Brian Mastenbrook입니다.

  • c++filt

    CVE-ID: CVE-2008-2310

    사용 대상: Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 악의적으로 제작된 문자열을 c++filt로 전달할 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: C++ 및 Java 기호의 문제 해결에 사용되는 디버깅 도구인 c++filt에 포맷 문자열 문제가 발생합니다. 악의적으로 제작된 문자열을 c++filt로 전달할 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 포맷 문자열 처리를 통해 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 시스템에 영향을 주지 않습니다.

  • 론치 서비스

    CVE-ID: CVE-2008-2311

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 악의적으로 제작된 웹 사이트를 방문할 경우 임의 코드가 실행될 수 있습니다.

    설명: 심볼 링크의 다운로드를 확인할 때 짧은 확인 시간 윈도우 사이에 링크의 대상이 변경될 경우 경쟁 조건이 발생합니다. Safari에서 "Open 'safe' files" 환경설정이 활성화된 경우 악의적으로 제작된 웹 사이트를 방문하면 사용자의 시스템에서 파일이 열리며 임의 코드가 실행될 수 있습니다. 이 업데이트는 다운로드된 파일을 추가 검증하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다.

  • Net-SNMP

    CVE-ID: CVE-2008-0960

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 원격 공격자가 인증된 SNMPv3 패킷으로 스푸핑할 수 있습니다.

    설명: Net-SNMP의 SNMPv3 인증에 문제가 발생하여 악의적으로 제작된 패킷이 인증 확인을 우회할 수 있습니다. 이 업데이트는 SNMPv3 패킷을 추가 검증하여 문제를 해결합니다. 추가 정보는 http://www.kb.cert.org/vuls/id/878044를 통해 얻을 수 있습니다.

  • Ruby

    CVE-ID: CVE-2008-2662, CVE-2008-2663, CVE-2008-2664, CVE-2008-2725, CVE-2008-2726

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 신뢰할 수 없는 입력을 사용하여 문자열이나 배열에 접근하는 Ruby 스크립트를 실행하는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: Ruby에서 문자열 및 배열을 처리하는 중에 다중 메모리 손상 문제가 발생하며 심각한 경우 임의 코드가 실행될 수 있습니다. 이 업데이트는 문자열 및 배열을 추가 검증하여 문제를 해결합니다.

  • Ruby

    CVE-ID: CVE-2008-1145

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: WEBRick이 실행 중인 경우 원격 공격자가 WEBrick의 :NondisclosureName 옵션으로 보호되는 파일에 접근할 수도 있습니다.

    설명: Ruby WEBrick 도구 키트의 :NondisclosureName 옵션은 파일에 대한 접근을 제한하는 데 사용됩니다. 예상치 않은 대/소문자가 사용된 파일 이름을 요청하면 :NondisclosureName 제한이 우회될 수 있습니다. 이 업데이트는 파일 이름을 추가 검증하여 문제를 해결합니다. 추가 정보는 http://www.ruby-lang.org/en/news/2008/03/03/webrick-file-access-vulnerability/를 통해 얻을 수 있습니다. 권고에 설명된 디렉토리 이동(directory traversal) 문제는 Mac OS X에 영향을 주지 않습니다.

  • SMB File Server

    CVE-ID: CVE-2008-1105

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 원격 공격자로 인해 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: SMB 패킷을 처리할 때 힙 버퍼 오버플로우 문제가 발생합니다. 악의적인 SMB 패킷을 SMB 서버로 보내거나 악의적인 SMB 서버에 연결하는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트는 받은 SMB 패킷 길이에 대한 범위 검사 기능을 향상시켜 이 문제를 해결합니다. 이 문제를 보고한 사람은 Secunia Research의 Alin Rad Pop입니다.

  • 시스템 구성

    CVE-ID: CVE-2008-2313

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 로컬 사용자가 새 사용자 권한으로 임의 코드를 실행할 수 있습니다.

    설명: 로컬 사용자가 새 사용자 생성 시에 홈 디렉토리의 일부가 되는 파일로 User Template 디렉토리를 채울 수 있습니다. 이 경우 새 사용자 권한으로 임의 코드를 실행할 수 있습니다. 이 업데이트는 User Template 디렉토리의 권한을 더 제한하여 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이상을 실행하는 시스템에 영향을 주지 않습니다. 이 문제를 보고한 사람은 University of Michigan의 Andrew Mortensen입니다.

  • Tomcat

    CVE-ID: CVE-2005-3164, CVE-2007-1355, CVE-2007-2449, CVE-2007-2450, CVE-2007-3382, CVE-2007-3383, CVE-2007-5333, CVE-2007-3385, CVE-2007-5461

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: Tomcat 4.1.36의 여러 취약점

    설명: Tomcat 버전 4.x는 Mac OS X v10.4.11 시스템에 번들로 제공됩니다. Mac os X .4.11의 Tomcat이 크로스 사이트 스크립팅 공격을 발생할 수 있는 심각한 취약점을 포함한 여러 취약점을 해결하기 위해 버전 4.1.37로 업데이트되었습니다. 더 많은 정보는 http://tomcat.apache.org/의 Tomcat 사이트를 통해 얻을 수 있습니다. Tomcat 버전 6.x는 Mac OS X v10.5 시스템에 번들로 제공됩니다.

  • VPN

    CVE-ID: CVE-2007-6276

    사용 대상: Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 원격 공격자로 인해 응용 프로그램이 예상치 않게 중단될 수 있습니다.

    설명: 가상 개인 네트워크 데몬에서 로드 균형 조정 정보를 처리할 때 0으로 나누기 문제가 발생합니다. 악의적으로 제작된 UDP 패킷을 처리하는 경우 응용 프로그램이 예상치 않게 중단될 수 있습니다. 이 문제로 인해 임의 코드가 실행되지는 않습니다. 이 업데이트는 로드 규형 조정 정보를 추가 검증하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 시스템에 영향을 주지 않습니다.

  • WebKit

    CVE-ID: CVE-2008-2307

    사용 대상: Mac OS X v10.5 - v10.5.3, Mac OS X Server v10.5 - v10.5.3

    영향: 악의적으로 제작된 웹 사이트를 방문하는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다.

    설명: WebKit에서 JavaScript 배열을 처리할 때 메모리 손상 문제가 발생합니다. 악의적으로 제작된 웹 사이트를 방문하는 경우 응용 프로그램이 예상치 않게 중단되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 경계 검사를 통해 이 문제를 해결합니다. 이 수정을 통해 Safari for Mac OS X v10.5.4의 버전이 3.1.2로 업데이트됩니다. Mac OS X v10.4.11 및 Windows XP/Vista의 경우 해당 시스템에 맞는 Safari v3.1.2에서 이 문제가 해결되었습니다. 이 문제를 보고한 사람은 James Urquhart입니다.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.