보안 업데이트 2009-002/Mac OS X v10.5.7의 보안 콘텐츠에 관하여

이 문서에서는 소프트웨어 업데이트 환경설정에서 또는 Apple 다운로드 사이트에서 다운로드하여 설치할 수 있는 보안 업데이트 2009-002/Mac OS X v10.5.7의 보안 콘텐츠에 대해 설명합니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.

가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.

보안 업데이트 2009-002/Mac OS X v10.5.7

  • Apache

    CVE-ID: CVE-2008-2939

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: 프록시를 통해 악의적인 웹 사이트를 방문하면 크로스 사이트 스크립팅이 발생할 수 있음

    설명: Apache에서 와일드카드 문자를 포함하는 FTP 프록시 요청을 처리할 때 입력 유효성 확인 문제가 발생합니다. Apache 프록시를 통해 악의적인 웹 사이트에 방문하면 크로스 사이트 스크립팅 공격이 발생할 수 있습니다. 이 업데이트에서는 버전 2.0.63용 Apache 패치를 적용하여 문제를 해결합니다. 자세한 내용은 Apache 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://httpd.apache.org/ Apache 2.0.x는 Mac OS X Server v10.4.x 시스템에만 제공됩니다. Mac OS X v10.5.x 및 Mac OS X Server v10.5.x는 Apache 2.2.x가 설치된 상태로 배송됩니다.

  • Apache

    CVE-ID: CVE-2008-2939

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 프록시를 통해 악의적인 웹 사이트를 방문하면 크로스 사이트 스크립팅이 발생할 수 있음

    설명: Apache 2.2.9에서 와일드카드 문자를 포함하는 FTP 프록시 요청을 처리할 때 입력 유효성 확인 문제가 발생합니다. Apache 프록시를 통해 악의적인 웹 사이트에 방문하면 크로스 사이트 스크립팅 공격이 발생할 수 있습니다. 이 업데이트에서는 Apache를 버전 2.2 11로 업데이트하여 문제를 해결합니다. 자세한 정보는 Apache 웹 사이트에서 확인할 수 있습니다. 웹 사이트: https://www.pcre.org/

  • Apache

    CVE-ID: CVE-2008-0456

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 사용자가 제공된 파일의 이름을 제어하도록 허용하는 웹 사이트는 HTTP 응답 삽입에 취약할 수 있음

    설명: Apache에 요청 위조 문제가 발생합니다. Apache는 원격 브라우저에 보낼 올바른 콘텐츠 유형을 협상할 때 파일 이름을 이스케이프 처리하지 않습니다. 특별히 제작된 이름을 가진 파일을 웹 사이트에 게시할 수 있는 사용자는 시스템에 호스팅되는 웹 페이지 응답을 자신의 응답으로 대체할 수 있습니다. 이 업데이트에서는 콘텐츠 협상 응답에서 파일 이름을 이스케이핑하여 문제를 해결합니다.

  • ATS

    CVE-ID: CVE-2009-0154

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 내장 CFF 서체를 포함하는 문서를 보거나 다운로드하면 임의 코드가 실행될 수 있음

    설명: Apple Type Services의 CFF(Compact Font Format) 서체 처리에 힙 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 내장 CFF 서체가 포함된 문서를 보거나 다운로드하는 경우 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제를 보고해 주신 TippingPoint의 Zero Day Initiative에 참여 중인 Independent Security Evaluators의 Charlie Miller 님께 감사드립니다.

  • BIND

    CVE-ID: CVE-2009-0025

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: BIND가 DNSSEC를 사용하도록 구성된 경우 스푸핑 공격을 받을 수 있음

    설명: BIND가 OpenSSL DSA_do_verify 함수의 반환 값을 잘못 확인합니다. DNSSEC(DNS Security Extensions) 프로토콜을 사용하는 시스템에서 악의적으로 제작된 DSA 인증서는 유효성 확인을 우회할 수 있고 이에 따라 스푸핑 공격이 발생할 수 있습니다. 기본적으로 DNSSEC는 활성화되지 않습니다. 이 업데이트에서는 Mac OS X v10.4의 버전 9.3.6-P1 및 Mac OS X v10.5 시스템용 버전 9.4.3-P1으로 BIND를 업데이트하여 문제를 해결합니다. 자세한 내용은 ISC 웹 사이트에서 확인할 수 있습니다. 웹 사이트: https://www.isc.org/

  • CFNetwork

    CVE-ID: CVE-2009-0144

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: CFNetwork를 사용하는 응용 프로그램은 암호화되지 않은 HTTP 요청에서 보안 쿠키를 보낼 수 있음

    설명: CFNetwork의 Set-Cookie 헤더 구문 분석에 구현 문제가 발생하여 특정한 쿠키가 암호화되지 않은 연결을 통해 예기치 않게 전송될 수 있습니다. 이 문제는 호환성을 이유로 허용되는 비 RFC 준수 Set-Cookie 헤더에 영향을 미칩니다. 따라서 Safari와 같은 CFNetwork를 사용하는 응용 프로그램이 암호화되지 않은 HTTP 요청에서 민감한 정보를 전송할 수 있습니다. 이 업데이트에서는 향상된 Set-Cookie 헤더 구문 분석을 통해 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 University of Michigan의 Andrew Mortensen 님께 감사드립니다.

  • CFNetwork

    CVE-ID: CVE-2009-0157

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적인 웹 사이트를 방문하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: CFNetwork에서 지나치게 긴 HTTP 헤더를 처리할 때 힙 버퍼 오버플로우가 발생합니다. 악의적인 웹 사이트를 방문하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 HTTP 헤더에 대한 추가 유효성 확인을 수행하여 이 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 n.runs AG의 Moritz Jodeit 님께 감사드립니다.

  • CoreGraphics

    CVE-ID: CVE-2009-0145

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: CoreGraphics에서 PDF 파일을 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 및 오류 검사를 통해 문제를 해결합니다.

  • CoreGraphics

    CVE-ID: CVE-2009-0155

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: CoreGraphics에서 PDF 파일을 처리할 때 정수 언더플로우가 발생하며, 이로 인해 힙 버퍼 오버플로우가 발생할 수 있습니다. 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 L3S Research Center의 Christian Kohlschutter 님과 Barry K. Nathan 님께 감사드립니다.

  • CoreGraphics

    CVE-ID: CVE-2009-0146, CVE-2009-0147, CVE-2009-0165

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 JBIG2 스트림을 포함하는 PDF 파일을 보거나 다운로드하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: CoreGraphics에서 JBIG2 스트림을 포함하는 PDF 파일을 처리할 때 여러 가지 힙 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 JBIG2 스트림을 포함하는 PDF 파일을 보거나 다운로드하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Apple이 발견했으며 이 문제를 보고해 주신 Secunia Research의 Alin Rad Pop 님, CERT/CC의 Will Dormann 님께도 감사드립니다.

  • Cscope

    CVE-ID: CVE-2009-0148

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: Cscope를 사용하여 악의적으로 제작된 소스 파일을 처리하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: Cscope에서 긴 파일 시스템 경로 이름을 처리할 때 스택 버퍼 오버플로우가 발생합니다. Cscope를 사용하여 악의적으로 제작된 소스 파일을 처리하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다.

  • CUPS

    CVE-ID: CVE-2009-0164

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 웹 사이트를 방문하면 CUPS의 웹 인터페이스에 대한 무단 접근이 발생할 수 있음

    설명: 특정 상황에서 CUPS 1.3.9 및 이전 버전의 웹 인터페이스는 DNS 리바인딩 공격을 통해 공격자가 접근할 수 있습니다. 기본 구성에서 이로 인해 악의적으로 제작된 웹 사이트가 프린터를 시작 및 중지하고 프린터 및 작업에 대한 정보에 접근할 수 있습니다. 이 업데이트에서는 호스트 헤더의 추가 유효성 확인을 수행하여 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

  • Disk Images

    CVE-ID: CVE-2009-0150

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 디스크 이미지를 마운트하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: 디스크 이미지 처리에서 스택 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 분할 디스크 이미지를 마운트하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 IOActive의 Tiller Beauchamp 님께 감사드립니다.

  • Disk Images

    CVE-ID: CVE-2009-0149

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 디스크 이미지를 마운트하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: 디스크 이미지를 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 분할 디스크 이미지를 마운트하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

  • enscript

    CVE-ID: CVE-2004-1184, CVE-2004-1185, CVE-2004-1186, CVE-2008-3863

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: enscript에 여러 가지 취약점이 존재함

    설명: 여러 가지 취약점을 해결하기 위해 enscript가 1.6.4 버전으로 업데이트되었습니다. 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있습니다. 자세한 정보는 gnu 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://www.gnu.org/software/enscript/

  • Flash Player plug-in

    CVE-ID: CVE-2009-0519, CVE-2009-0520, CVE-2009-0114

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: Adobe Flash Player 플러그인에 여러 가지 취약점이 존재함

    설명: Adobe Flash Player 플러그인에 여러 가지 취약점이 존재합니다. 가장 심각한 취약점으로 인해 악의적으로 제작된 웹 사이트를 볼 때 임의 코드가 실행될 수 있습니다. 이 문제는 Flash Player 플러그인을 Mac OS v10.5.x 시스템에서 버전 10.0.22.87로 업데이트하고 Mac OS X v10.4.11 시스템에서 버전 9.0.159.0으로 업데이트하는 방식으로 해결되었습니다. 자세한 정보는 Adobe 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://www.adobe.com/support/security/bulletins/apsb09-01.html

  • Help Viewer

    CVE-ID: CVE-2009-0942

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 'help:' URL에 접근하면 임의 코드가 실행될 수 있음

    설명: Help Viewer는 참조된 스타일 시트가 등록된 도움말 책 내에 있는지 확인하지 않고 URL 파라미터에서 참조된 Cascading Style Sheets를 로드합니다. 악의적인 'help:' URL은 임의 AppleScript 파일을 호출하는 데 사용될 수 있고 이에 따라 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 스타일시트를 로드할 때 향상된 파일 시스템 경로 유효성 확인을 통해 문제를 해결합니다. 이 문제를 보고해 주신 Brian Mastenbrook 님께 감사드립니다.

  • Help Viewer

    CVE-ID: CVE-2009-0943

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 'help:' URL에 접근하면 임의 코드가 실행될 수 있음

    설명: Help Viewer는 HTML 문서에 대한 전체 경로가 등록된 도움말 책 내에 있는지 확인하지 않습니다. 악의적인 'help:' URL은 임의 AppleScript 파일을 호출하는 데 사용될 수 있고 이에 따라 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 URL 유효성 확인을 통해 문제를 해결합니다. 이 문제를 보고해 주신 Brian Mastenbrook 님께 감사드립니다.

  • iChat

    CVE-ID: CVE-2009-0152

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: SSL에 구성된 iChat AIM 통신은 일반 텍스트로 다운그레이드할 수 있음

    설명: iChat은 AOL 인스턴트 메신저 및 Jabber 계정에 대해 SSL(Secure Sockets Layer)을 지원합니다. iChat은 연결할 수 없는 경우 AOL 인스턴트 메신저 계정에 대한 SSL을 비활성화하고 SSL이 수동으로 다시 활성화될 때까지 일반 텍스트로 후속 통신을 전송합니다. 영향을 받은 시스템의 네트워크 트래픽을 관찰할 수 있는 원격 공격자는 AOL 인스턴트 메신저 대화의 내용을 확인할 수 있습니다. 이 업데이트에서는 항상 SSL 사용을 시도하고, 'SSL 필수' 환경설정이 활성화되어 있지 않은 경우에만 보안 수준이 낮은 채널을 사용하도록 iChat의 동작을 변경하여 이 문제를 해결합니다. Mac OS X 10.5 이전 버전은 iChat 계정에 대해 SSL을 지원하지 않으므로 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 Chris Evans 님께 감사드립니다.

  • International Components for Unicode

    CVE-ID: CVE-2009-0153

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 콘텐츠는 웹 사이트 필터를 우회하고 크로스 사이트 스크립팅을 유발할 수 있음

    설명: ICU에서 특정 문자 인코딩을 처리할 때 구현 문제가 발생합니다. ICU를 사용하여 잘못된 바이트 시퀀스를 유니코드로 변환하면 과다하게 소모되어 후행 바이트가 원래 문자의 일부로 간주됩니다. 공격자가 이를 활용하여 크로스 사이트 스크립팅을 완화하려 하는 웹 사이트의 필터를 우회할 수 있습니다. 이 업데이트에서는 잘못된 바이트 시퀀스 처리를 향상하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 Casaba Security의 Chris Weber 님께 감사드립니다.

  • IPSec

    CVE-ID: CVE-2008-3651, CVE-2008-3652

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: racoon 데몬의 여러 가지 취약점으로 인해 서비스 거부가 발생할 수 있음

    설명: 0.7.1 이전 버전의 ipsec-tools에 있는 racoon 데몬에 여러 메모리 유출이 발생할 수 있고 이에 따라 서비스 거부가 발생할 수 있습니다. 이 업데이트에서는 향상된 메모리 관리를 통해 문제를 해결합니다.

  • Kerberos

    CVE-ID: CVE-2009-0845

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 인증 패킷을 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생할 수 있음

    설명: Kerberos SPNEGO 지원에서 null 포인터 역참조 문제가 발생합니다. 악의적으로 제작된 인증 패킷을 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생할 수 있습니다. 이 업데이트에서는 null 포인터에 확인을 추가하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전이 설치된 시스템에는 영향을 미치지 않습니다.

  • Kerberos

    CVE-ID: CVE-2009-0846, CVE-2009-0847

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 ASN.1로 인코딩된 메시지를 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생하거나 임의 코드가 실행될 수 있음

    설명: Kerberos에서 ASN.1로 인코딩된 메시지를 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 ASN.1로 인코딩된 메시지를 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생하거나 임의 코드가 실행될 수 있습니다. 문제 및 적용되는 패치에 대한 자세한 내용은 MIT Kerberos 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://web.mit.edu/Kerberos/

  • Kerberos

    CVE-ID: CVE-2009-0844

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 Kerberos 데이터 패킷을 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생할 수 있음

    설명: Kerberos에 범위를 벗어난 메모리 접근 문제가 발생합니다. 악의적으로 제작된 Kerberos 데이터 패킷을 처리하면 Kerberos 활성화 프로그램에서 서비스 거부가 발생할 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전이 설치된 시스템에는 영향을 미치지 않습니다. 이 문제는 Apple에서 발견했습니다.

  • Kernel

    CVE-ID: CVE-2008-1517

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 로컬 사용자가 시스템 권한을 얻을 수 있음

    설명: 커널의 작업 대기열 처리에서 확인되지 않은 인덱스 문제가 발생하여 시스템이 예기치 않게 종료되거나 커널 권한으로 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 인덱스 확인을 통해 문제를 해결합니다. 이 문제를 보고해 주신 VeriSign iDefense VCP에 참여 중인 익명의 연구원님께 감사드립니다.

  • Launch Services

    CVE-ID: CVE-2009-0156

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 Mach-O 실행 파일을 다운로드하면 Finder가 반복적으로 종료 및 재실행될 수 있음

    설명: Launch Services에 범위를 벗어난 메모리 읽기 접근 문제가 발생합니다. 악의적으로 제작된 Mach-O 실행 파일을 다운로드하면 Finder가 반복적으로 종료하고 다시 실행할 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다.

  • libxml

    CVE-ID: CVE-2008-3529

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 웹 사이트를 방문하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: libxml에서 긴 엔티티 이름을 처리할 때 힙 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 웹 사이트를 방문하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다.

  • Net-SNMP

    CVE-ID: CVE-2008-4309

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 원격 공격자가 SNMP 서비스의 작동을 종료할 수 있음

    설명: netsnmp_create_subtree_cache 함수에 정수 오버플로우가 발생합니다. 공격자가 악의적으로 제작된 SNMPv3 패킷을 전송하는 방식으로 SNMP 서버를 종료시켜 적법한 클라이언트에 대해 서비스를 거부할 수 있습니다. 이 업데이트에서는 Mac OS X v10.4.11 시스템에 Net-SNMP 패치를 적용하고 Mac OS X v10.5.x 시스템에서 net_snmp를 버전 5.4.2.1로 업데이트하여 문제를 해결합니다. SNMP 서비스는 Mac OS X 또는 Mac OS X Server에서 기본적으로 활성화되어 있지 않습니다.

  • Network Time

    CVE-ID: CVE-2009-0021

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: NTP 인증이 활성화된 경우 네트워크 시간이 스푸핑 공격을 받을 수 있음

    설명: ntpd 데몬이 OpenSSL EVP_VerifyFinal 함수의 반환 값을 잘못 확인합니다. NTPv4 인증을 사용하는 시스템에서 이를 통해 악의적으로 제작된 서명이 암호화 서명 유효성 확인을 우회할 수 있어 시간 스푸핑 공격이 발생할 수 있습니다. 기본적으로 NTP 인증은 활성화되어 있지 않습니다. 이 업데이트에서는 EVP_VerifyFinal 함수의 반환 값을 적절하게 확인하여 문제를 해결합니다.

  • Network Time

    CVE-ID: CVE-2009-0159

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: ntpq 명령을 사용하여 악의적인 원격 시간 서버에 피어 정보를 요청하면 예기치 않은 응용 프로그램 종료 또는 임의 코드 실행이 발생할 수 있음

    설명: ntpq 프로그램에서 스택 버퍼 오버플로우가 발생합니다. 원격 시간 서버에서 피어 정보를 요청하는 데 ntpq 프로그램이 사용되면 악의적으로 제작된 응답으로 인해 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

  • Networking

    CVE-ID: CVE-2008-3530

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 원격 사용자로 인해 시스템이 예기치 않게 종료될 수 있음

    설명: IPv6 지원이 활성화되면 IPv6 노드는 ICMPv6을 사용하여 패킷을 처리하는 동안 발생한 오류를 보고합니다. 수신한 ICMPv6 '패킷이 너무 큼' 메시지를 처리할 때 구현 문제가 발생하여 시스템이 예기치 않게 종료될 수 있습니다. 이 업데이트에서는 향상된 ICMPv6 메시지 처리를 통해 문제를 해결합니다.

  • OpenSSL

    CVE-ID: CVE-2008-5077

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 중간자(man-in-the-middle) 공격자가 SSL 인증서 확인을 위해 OpenSSL을 사용하는 응용 프로그램에서 신뢰할 수 있는 서버 또는 사용자를 가장할 수 있음

    설명: OpenSSL 라이브러리 내의 여러 함수가 EVP_VerifyFinal 함수의 결과 값을 잘못 확인합니다. 중간자(man-in-the-middle) 공격자가 DSA 및 ECDSA 키의 SSL 인증서 확인을 위해 OpenSSL을 사용하는 응용 프로그램에서 신뢰할 수 있는 서버 또는 사용자를 가장할 수 있습니다. 이 업데이트에서는 EVP_VerifyFinal 함수의 반환 값을 적절하게 확인하여 문제를 해결합니다.

  • PHP

    CVE-ID: CVE-2008-3659, CVE-2008-2829, CVE-2008-3660, CVE-2008-2666, CVE-2008-2371, CVE-2008-2665, CVE-2008-3658, CVE-2008-5557

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: PHP 5.2.6에 여러 가지 취약점이 존재함

    설명: 여러 가지 취약점을 해결하기 위해 PHP가 5.2.8 버전으로 업데이트되었습니다. 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있었습니다. 자세한 내용은 PHP 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://www.php.net

  • QuickDraw Manager

    CVE-ID: CVE-2009-0160

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 PICT 이미지를 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: QuickDraw에서 PICT 이미지를 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 PICT 이미지를 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 PICT 이미지에 대한 추가적인 유효성 확인을 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

  • QuickDraw ManagerCVE-ID: CVE-2009-0010대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6영향: 악의적으로 제작된 PICT 이미지를 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음설명: PICT 이미지를 처리할 때 정수 오버플로우가 발생하며, 이로 인해 힙 버퍼 오버플로우가 야기될 수 있습니다. 악의적으로 제작된 PICT 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 PICT 이미지에 대한 추가적인 유효성 확인을 통해 문제를 해결합니다. 이 문제를 보고해 주신 TippingPoint의 Zero Day Initiative에 참여 중인 Damian Put 님과 Sebastian Apelt 님, Carnegie Mellon University Computing Services의 Chris Ries 님께 감사드립니다.

  • ruby

    CVE-ID: CVE-2008-3443, CVE-2008-3655, CVE-2008-3656, CVE-2008-3657, CVE-2008-3790

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: Ruby 1.8.6에 여러 가지 취약점이 존재함

    설명: Ruby 1.8.6에 여러 가지 취약점이 존재합니다. 이 업데이트에서는 Ruby를 버전 1.8.6-p287로 업데이트하여 문제를 해결합니다. 자세한 정보는 Ruby 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://www.ruby-lang.org/en/security/

  • ruby

    CVE-ID: CVE-2009-0161

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: Ruby 프로그램이 호출된 인증서를 승인할 수 있음

    설명: Ruby에서 OpenSSL 라이브러리를 사용할 때 불완전한 오류 검사가 존재합니다. OpenSSL::OCSP Ruby 모듈은 잘못된 응답을 인증서에 대한 OCSP 유효성 확인으로 해석할 수 있습니다. 이 업데이트에서는 OCSP 응답을 확인하는 동안 향상된 오류 검사를 통해 문제를 해결합니다.

  • Safari

    CVE-ID: CVE-2009-0162

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 'feed:' URL에 접근하면 임의 코드가 실행될 수 있음

    설명: Safari의 'feed:' URL 처리에 여러 가지 입력 유효성 확인 문제가 발생합니다. 악의적으로 제작된 'feed:' URL에 접근하면 임의 JavaScript가 실행될 수 있습니다. 이 업데이트에서는 'feed:' URL에 대한 추가적인 유효성 확인을 통해 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 MSVR(Microsoft Vulnerability Research)의 Billy Rios 님과 Alfredo Melloni 님께 감사드립니다.

  • Spotlight

    CVE-ID: CVE-2009-0944

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 Microsoft Office 파일을 다운로드하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: Mac OS X Microsoft Office Spotlight Importer에서 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 Microsoft Office 파일을 다운로드하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 Microsoft Office 파일에 대한 추가 유효성 확인을 수행하여 문제를 해결합니다.

  • system_cmds

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 'login' 명령이 항상 일반적인 우선 순위로 기본 셸을 실행함

    설명: 'login' 명령은 로컬 사용자가 인증된 후 대화형 셸을 시작합니다. 대화형 셸의 우선 순위 수준은 시스템 기본값으로 재설정되어 셸이 예기치 않게 높은 우선 순위로 실행될 수 있습니다. 이 업데이트에서는 호출자가 슈퍼 사용자 또는 로그인에 성공한 사용자인 경우 호출 프로세스의 우선 순위 설정을 존중하여 문제를 해결합니다.

  • telnet

    CVE-ID: CVE-2009-0158

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: DNS 주소 기록에서 매우 긴 정식 이름을 가진 TELNET 서버에 연결하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: telnet 명령에 스택 버퍼 오버플로우가 발생합니다. DNS 주소 기록에서 매우 긴 정식 이름을 가진 TELNET 서버에 연결하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제는 Apple에서 발견했습니다.

  • Terminal

    CVE-ID: CVE-2009-1717

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 터미널을 사용하여 원격 시스템에 연결하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: 터미널 윈도우 크기를 처리할 때 정수 오버플로우로 인해 힙 버퍼 오버플로우가 발생할 수 있습니다. 예를 들어, 'telnet:' URL을 여는 것처럼 터미널을 사용하여 원격 시스템에 연결하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 터미널 윈도우 너비를 2,048자로 제한하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다. 이 문제를 보고해 주신 TippingPoint DVLabs의 Rob King 님께 감사드립니다.

  • WebKit

    CVE-ID: CVE-2009-0945

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: 악의적으로 제작된 웹 사이트를 방문하면 임의 코드가 실행될 수 있음

    설명: WebKit의 SVGList 오브젝트 처리 시 메모리 손상 문제가 발생합니다. 악의적으로 제작된 웹 사이트를 방문하면 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. Mac OS X v10.4.11 및 Mac OS X Server v10.4.11의 경우 Safari 3.2.3으로 업데이트하면 이 문제가 해결됩니다. 이 문제를 보고해 주신 TippingPoint의 Zero Day Initiative에 참여 중인 Nils 님께 감사드립니다.

  • X11

    CVE-ID: CVE-2006-0747, CVE-2007-2754

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11

    영향: FreeType v2.1.4에 여러 가지 취약점이 존재함

    설명: FreeType v2.1.4에 여러 가지 취약점이 존재하며 가장 심각한 취약점으로 인해 악의적으로 제작된 서체를 처리할 때 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 FreeType을 버전 2.3.8로 업데이트하여 문제를 해결합니다. 자세한 정보는 FreeType 사이트(http://www.freetype.org/)에서 확인할 수 있습니다. 이 문제는 이미 Mac OS X v10.5.6을 실행하는 시스템에서 해결되었습니다.

  • X11

    CVE-ID: CVE-2008-2383

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: xterm 터미널 내에 악의적으로 제작된 데이터를 표시하면 임의 코드가 실행될 수 있음

    설명: xterm 프로그램은 현재 터미널에 대한 정보를 반환하는 데 사용할 수 있는 DECRQSS라고 하는 명령 시퀀스를 지원합니다. 반환된 정보는 사용자의 키보드 입력과 유사한 터미널 입력으로 전송됩니다. xterm 터미널 내에서 그러한 시퀀스를 포함하는 악의적으로 제작된 데이터를 표시하면 명령 삽입이 발생할 수 있습니다. 이 업데이트에서는 출력 데이터에 대한 추가 유효성 확인을 수행하여 문제를 해결합니다. 이 문제는 Mac OS X 10.5 이전 버전이 설치된 시스템에는 영향을 미치지 않습니다.

  • X11

    CVE-ID: CVE-2008-1382, CVE-2009-0040

    대상: Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: libpng 버전 1.2.26에 여러 가지 취약점이 존재함

    설명: libpng 버전 1.2.26에 여러 가지 취약점이 존재하며 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 libpng를 버전 1.2.35로 업데이트하여 문제를 해결합니다. 자세한 정보는 libpng 웹 사이트에서 확인할 수 있습니다. 웹 사이트: http://www.libpng.org/pub/png/libpng.html 이 문제는 Mac OS X 10.5 이전 버전의 시스템에는 영향을 미치지 않습니다.

  • X11

    CVE-ID: CVE-2009-0946

    대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5~v10.5.6, Mac OS X Server v10.5~v10.5.6

    영향: FreeType v2.3.8에 여러 가지 취약점이 존재함

    설명: FreeType v2.3.8에 여러 가지 정수 오버플로우가 존재하고 이로 인해 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제를 보고해 주신 Google Security Team의 Tavis Ormandy 님께 감사드립니다.

중요: 타사 웹 사이트 및 타사 제품에 대한 내용은 정보 확인 용도로만 제공되는 것으로 Apple이 해당 제품을 권장하거나 그 성능을 보증하는 것은 아닙니다. Apple은 타사 웹 사이트에 나와 있는 정보 또는 제품의 사용이나 선택, 성능과 관련하여 어떠한 책임도 지지 않습니다. 단지 사용자의 편의를 위해서만 이러한 정보를 제공합니다. Apple은 이러한 사이트에 나와 있는 정보를 확인하지 않았으며 해당 정보의 정확성 또는 신뢰도에 대해 어떠한 언급도 하지 않습니다. 인터넷상의 정보 또는 제품을 사용하는 데에는 위험이 따르며 Apple은 이와 관련하여 어떠한 책임도 지지 않습니다. 타사 사이트는 Apple과 관련이 없는 별개의 사이트이며 해당 웹 사이트에서 다루는 콘텐츠와 관련해 Apple은 아무런 권한도 행사할 수 없다는 점을 이해해 주시기 바랍니다. 자세한 내용은 협력업체에 문의하십시오.

게시일: