보안 업데이트 2008-008 / Mac OS X v10.5.6의 보안 내용 정보

  • 최근 수정일: 15 5월, 2009
  • 문서: HT3338

요약

이 문서에서는 보안 업데이트 2008-008 / Mac OS X v10.5.6의 보안 컨텐츠에 대해 설명합니다. 보안 업데이트는 소프트웨어 업데이트 환경설정 또는 Apple 다운로드를 통해 다운로드하여 설치할 수 있습니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 릴리즈가 준비될 때까지 보안 문제를 공개, 토론 또는 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 대한 자세한 내용은 "Apple 제품 보안 PGP 키 사용 방법"을 참조하십시오.

가능한 경우 CVE ID를 사용하여 취약점에 대한 추가 정보를 참조할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 "Apple 보안 업데이트"를 참조하십시오.

적용 제품

제품 보안, Mac OS X 10.5

보안 업데이트 2008-008 / Mac OS X v10.5.6

  • ATS

    CVE-ID: CVE-2008-4236

    사용 대상: Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 악의적으로 제작된 내장 서체가 포함된 PDF 파일을 보거나 다운로드는 경우 서비스 거부가 발생할 수 있습니다.

    설명: Apple Type Services 서버에서 PDF 파일의 내장 서체를 처리할 때 무한 루프(Infinite Loop)가 발생할 수 있습니다. 악의적으로 제작된 내장 서체가 포함된 PDF 파일을 보거나 다운로드하면 서비스 거부가 발생할 수 있습니다. 이 업데이트에서는 내장 서체를 추가로 확인하여 이 문제를 해결합니다. 이 문제는 Mac OS X v10.5 이전 버전에는 영향을 주지 않습니다. 이 문제를 보고해 주신 Futurice Ltd.의 Michael Samarin 및 Mikko Vihonen님께 감사드립니다.

  • BOM

    CVE-ID: CVE-2008-4217

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 악의적으로 제작된 CPIO 백업을 다운로드하거나 볼 경우 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있습니다.

    설명: BOM에서 CPIO 헤더를 처리하는 데 signedness 문제가 있으며, 이로 인해 스택 버퍼 오버플로우가 발생할 수 있습니다. 악의적으로 제작된 CPIO 백업을 다운로드하거나 볼 경우 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있습니다. 이 업데이트는 CPIO 헤더를 추가로 확인하여 이 문제를 해결합니다. 이 문제를 보고한 사람은 Apple입니다.

  • CoreGraphics

    CVE-ID: CVE-2008-3623

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 악의적으로 제작된 이미지를 보는 경우 응용 프로그램이 예상치 않게 중단되거나 임의의 코드가 실행될 수 있습니다.

    설명: CoreGraphics 내에서 색상 공간을 처리할 때 힙 버퍼 오버플로우 문제가 발생합니다. 악의적으로 제작된 이미지를 보는 경우 응용 프로그램이 예기치 않게 중단되거나 임의의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 경계 검사를 통해 이 문제를 해결합니다. 이 문제를 보고한 사람은 Apple입니다.

  • CoreServices

    CVE-ID: CVE-2008-3170

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 악의적으로 제작된 웹 사이트에 방문하는 경우 사용자 증명서가 공개될 수 있습니다.

    설명: Safari에서는 국가별 최상위 레벨 도메인에 대해 쿠키를 설정하도록 허용하는데, 원격 공격자는 이를 이용해 세션 수정 공격을 수행하고 사용자 증명서를 가로챌 수 있습니다. 이 업데이트는 도메인 이름을 추가로 확인하여 이 문제를 해결합니다. 이 문제를 보고해 주신 iCab.de의 Alexander Clauss님께 감사드립니다.

  • CoreTypes

    CVE-ID: CVE-2008-4234

    사용 대상: Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 다운로드한 컨텐츠 중 안전하지 않은 컨텐츠를 실행하려는 경우 경고가 표시될 수 있습니다.

    설명: Mac OS X은 잠재적으로 안전하지 않은 파일을 표시하기 위해 Download Validation 기능을 제공합니다. Safari 등의 응용 프로그램은 잠재적으로 안전하지 않은 것으로 표시된 파일을 실행하기에 앞서 Download Validation을 사용하여 사용자에게 경고를 표시합니다. 이 업데이트는 잠재적으로 안전하지 않은 유형의 목록에 추가됩니다. 이 업데이트는 실행 권한이 있지만 관련된 특정 응용 프로그램이 없는 파일에 대해 컨텐츠 유형을 추가합니다. 이러한 파일은 Terminal에서 실행되고 해당 컨텐츠는 명령으로서 실행될 것이므로 잠재적으로 안전하지 않습니다. 이러한 파일은 자동으로 실행되지 않지만, 수동으로 열 경우 악성 코드가 실행될 수 있습니다. 이 문제는 Mac OS X v10.5 이전 시스템에 영향을 주지 않습니다.

  • Flash Player 플러그인

    CVE-2007-4324, CVE-2007-6243, CVE-2008-3873, CVE-2008-4401, CVE-2008-4503, CVE-2008-4818, CVE-2008-4819, CVE-2008-4820, CVE-2008-4821, CVE-2008-4822, CVE-2008-4823, CVE-2008-4824, CVE-2008-5361, CVE-2008-5362, CVE-2008-5363

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: Adobe Flash Player 플러그인의 여러 취약점

    설명: Adobe Flash Player 플러그인에 여러 가지 문제가 있으며, 악의적으로 제작된 웹 사이트를 볼 경우 그중 가장 심각한 문제로 인해 임의 코드가 실행될 수 있습니다. Flash Player 플러그인을 버전 9.0.151.0으로 업데이트하면 이 문제가 해결됩니다. 자세한 내용은 Adobe 웹 사이트(http://www.adobe.com/support/security/bulletins/apsb08-20.html)를 통해 볼 수 있습니다.

  • 커널

    CVE-ID: CVE-2008-4218

    사용 대상: Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 로컬 사용자가 시스템 권한을 얻을 수 있습니다.

    설명: i386_set_ldt 및 i386_get_ldt 시스템 호출 내에 정수 오버플로우가 있으며, 이로 인해 로컬 사용자가 시스템 권한으로 임의 코드를 실행할 수 있습니다. 이 업데이트는 향상된 경계 검사를 통해 문제를 해결합니다. 이 문제는 PowerPC 시스템에는 영향을 주지 않습니다. 이 문제를 보고해 주신 IOActive, Inc.의 Richard Vaneeden님께 감사드립니다.

  • 커널

    CVE-ID: CVE-2008-4219

    사용 대상: Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: NFS 공유에 있는 동적 라이브러리를 연결하는 실행 파일을 실행하는 경우 시스템이 예기치 않게 종료될 수 있습니다.

    설명: NFS 공유에 있는 프로그램이 예외를 수신하면 무한 루프(Infinite Loop)가 발생할 수 있습니다. 이 문제로 인해 시스템이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 예외 처리 기능을 통해 문제를 해결합니다. 이 문제를 보고해 주신 Princeton 대학의 Ben Loer님께 감사드립니다.

  • Libsystem

    CVE-ID: CVE-2008-4220

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: inet_net_pton API를 사용하는 응용 프로그램에서 임의 코드 실행 또는 예기치 않은 응용 프로그램 종료가 발생할 수 있습니다.

    설명: Libsystem의 inet_net_pton API에 정수 오버플로우 문제가 있으며, 이로 인해 API를 사용하는 응용 프로그램에서 임의 코드 실행 또는 예기치 않은 종료가 발생할 수 있습니다. 이 업데이트에서는 향상된 경계 검사를 통해 이 문제를 해결합니다. 이 API는 신뢰할 수 없는 데이터로 정상적으로 호출되지 않으며, 이 문제를 악용한 사례는 알려지지 않았습니다. 이 업데이트는 이 API를 사용하는 응용 프로그램에 대한 잠재적인 공격을 완화하는 데 도움을 주기 위해 제공됩니다.

  • Libsystem

    CVE-ID: CVE-2008-4221

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: strptime API를 사용하는 응용 프로그램에서 임의 코드 실행 또는 예기치 않은 응용 프로그램 종료가 발생할 수 있습니다.

    설명: Libsystem의 strptime API에 메모리 손상 문제가 있습니다. 악의적으로 제작된 날짜 문자열을 구문 분석할 경우 임의 코드가 실행되거나 응용 프로그램이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 메모리 할당을 통해 문제를 해결합니다. 이 문제를 보고한 사람은 Apple입니다.

  • Libsystem

    CVE-ID: CVE-2008-1391

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: strfmon API를 사용하는 응용 프로그램에서 예기치 않은 응용 프로그램 종료 또는 임의 코드 실행이 발생할 수 있습니다.

    설명: Libsystem의 strfmon 구현 시 정수 오버플로우가 여러 번 발생합니다. 형식 문자열 인수에 있는 특정 정수 필드의 큰 값으로 strfmon을 호출하는 응용 프로그램이 예기치 않게 종료되거나 임의 코드를 실행할 수 있습니다. 이 업데이트는 향상된 경계 검사를 통해 문제를 해결합니다.

  • 관리되는 클라이언트

    CVE-ID: CVE-2008-4237

    사용 대상: Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 관리되는 화면 보호기 설정이 적용되지 않습니다.

    설명: 관리되는 클라이언트 시스템의 소프트웨어가 호스트당 구성 정보를 설치하는 방법을 통해 시스템을 정확히 식별하지 못할 수 있습니다. 잘못 식별된 시스템에서는 화면 보호기 잠금을 비롯한 호스트당 설정이 적용되지 않습니다. 이 업데이트는 관리되는 클라이언트가 정확한 시스템 ID를 사용하도록 하여 이 문제를 해결합니다. 이 문제는 내장된 이더넷을 사용하는 시스템에는 영향을 주지 않습니다. 이 문제를 보고해 주신 ESRI의 John Barnes님 및 Tamman Technologies, Inc.의 Trevor Lalish-Menagh님께 감사드립니다.

  • network_cmds

    CVE-ID: CVE-2008-4222

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: 인터넷 공유가 활성화된 경우 원격 공격자가 서비스 거부를 일으킬 수 있습니다.

    설명: natd의 TCP 패킷 처리 시 무한 루프(Infinite Loop)가 발생할 수 있습니다. 인터넷 공유가 활성화된 경우 원격 공격자는 악의적으로 제작된 TCP 패킷을 전송함으로써 서비스 거부를 일으킬 수 있습니다. 이 업데이트는 TCP 패킷을 추가로 확인하여 이 문제를 해결합니다. 이 문제를 보고해 주신 Ohmantics의 Alex Rosenberg님 및 Paizo Publishing의 Gary Teter님께 감사드립니다.

  • Podcast Producer

    CVE-ID: CVE-2008-4223

    사용 대상: Mac OS X Server v10.5 - v10.5.5

    영향: 원격 공격자가 Podcast Producer의 관리 기능에 액세스할 수 있습니다.

    설명: Podcast Producer 서버에 인증 바이패스 문제가 있으며, 이로 인해 인증되지 않은 사용자가 서버의 관리 기능에 액세스할 수 있습니다. 이 업데이트는 향상된 액세스 제한 처리 기능을 통해 문제를 해결합니다. Podcast Producer는 Mac OS X Server v10.5에서 처음 소개되었습니다.

  • UDF

    CVE-ID: CVE-2008-4224

    사용 대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5 - v10.5.5, Mac OS X Server v10.5 - v10.5.5

    영향: ISO 파일을 열면 시스템이 예기치 않게 종료될 수 있습니다.

    설명: 잘못된 UDF 볼륨을 처리할 때 입력 유효화 문제가 발생합니다. 악의적으로 제작된 ISO 파일을 열면 시스템이 예기치 않게 종료될 수 있습니다. 이 업데이트는 향상된 입력 유효화를 통해 문제를 해결합니다. 이 문제를 보고해 주신 PCAX Solutions의 Mauro Notarianni님께 감사드립니다.

Important: Mention of third-party websites and products is for informational purposes only and constitutes neither an endorsement nor a recommendation. Apple assumes no responsibility with regard to the selection, performance or use of information or products found at third-party websites. Apple provides this only as a convenience to our users. Apple has not tested the information found on these sites and makes no representations regarding its accuracy or reliability. There are risks inherent in the use of any information or products found on the Internet, and Apple assumes no responsibility in this regard. Please understand that a third-party site is independent from Apple and that Apple has no control over the content on that website. Please contact the vendor for additional information.