OS X Mountain Lion v10.8.3 및 보안 업데이트 2013-001의 보안 콘텐츠에 관하여
이 문서에서는 OS X Mountain Lion v10.8.3 및 보안 업데이트 2013-001의 보안 콘텐츠에 대해 설명합니다.
OS X Mountain Lion v10.8.3 및 보안 업데이트 2013-001은 소프트웨어 업데이트 환경설정 또는 Apple 다운로드 페이지에서 다운로드하여 설치할 수 있습니다.
Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용을 알아보려면 Apple 제품 보안 웹 사이트를 참조하십시오.
Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.
가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.
다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.
참고: OS X Mountain Lion v10.8.3에는 Safari 6.0.3 콘텐츠가 제공되어 있습니다. 자세한 내용은 Safari 6.0.3의 보안 콘텐츠에 관하여를 참조하십시오.
OS X Mountain Lion v10.8.3 및 보안 업데이트 2013-001
Apache
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 공격자가 올바른 자격 증명을 알고 있지 않아도 HTTP 인증으로 보호된 디렉토리에 접근할 수 있음
설명: 무시할 수 있는 유니코드 문자 시퀀스가 있는 URI를 처리할 때 정규화 문제가 발생합니다. 이 문제는 무시할 수 있는 유니코드 문자 시퀀스가 있는 URI에 대한 접근을 금지하도록 mod_hfs_apple을 업데이트하여 해결되었습니다.
CVE-ID
CVE-2013-0966: Laconic Security의 Clint Ruoho
CoreTypes
대상: OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 웹 사이트를 방문하는 경우 Java 플러그인이 비활성화된 경우에도 Java Web Start 응용 프로그램이 자동으로 실행될 수 있음
설명: Java 플러그인이 비활성화된 경우에도 Java Web Start 응용 프로그램이 자동으로 실행됩니다. 이 문제는 사용자가 다운로드 디렉토리에서 열지 않은 한 Web Start 응용 프로그램이 실행되지 않도록 CoreTypes 안전한 파일 유형 목록에서 JNLP 파일을 제거하여 해결되었습니다.
CVE-ID
CVE-2013-0967
유니코드용 다국어 구성 요소
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 웹 사이트를 방문하는 경우 크로스 사이트 스크립팅 공격을 당할 수 있음
설명: EUC-JP 인코딩을 처리할 때 정규화 문제가 발생합니다. 이 문제로 인해 EUC-JP가 인코딩된 웹 사이트에서 교차 사이트 스크립팅 공격을 당할 수도 있습니다. 이 문제는 EUC-JP 매핑 테이블을 업데이트하여 해결되었습니다.
CVE-ID
CVE-2011-3058: Masato Kinugawa
ID 서비스
대상: OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 인증서 기반 Apple ID 인증을 사용하는 인증을 건너뛸 수도 있음
설명: ID 서비스에 발생한 문제를 처리하는 중에 오류가 발생합니다. 사용자의 AppleID 인증서를 확인하지 못하면 사용자의 AppleID가 빈 문자열인 것으로 간주됩니다. 여러 사용자가 소유 중인 다중 시스템에서 이 상태로 되는 경우 이 ID 확인을 사용하는 응용 프로그램에서 신뢰를 잘못 확장할 수 있습니다. 이 문제는 빈 문자열 대신에 NULL이 반환되도록 하여 해결되었습니다.
CVE-ID
CVE-2013-0963
ImageIO
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 TIFF 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: TIFF 이미지를 libTIFF에서 처리할 때 버퍼 오버플로우가 발생합니다. 이 문제는 TIFF 이미지의 추가 확인을 통해 해결되었습니다.
CVE-ID
CVE-2012-2088
IOAcceleratorFamily
대상: OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 이미지를 보는 경우 시스템이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: 그래픽 데이터를 처리할 때 메모리 손상 문제가 발생합니다. 이 문제는 범위 검사 개선을 통해 해결되었습니다.
CVE-ID
CVE-2013-0976: 익명의 연구원
커널
대상: OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작되거나 손상된 응용 프로그램으로 인해 커널 상 주소가 파악될 수 있음
설명: 커널 확장과 관련된 API를 처리할 때 정보 공개 문제가 발생합니다. OSBundleMachOHeaders 키가 포함된 응답에 커널 주소가 포함되어 있어, ASLR(Address Space Layout Randomization) 보호가 우회될 수 있습니다. 이 문제는 주소가 반환되기 전에 주소를 언슬라이딩하여 해결되었습니다.
CVE-ID
CVE-2012-3749: Azimuth Security의 Mark Dowd, Square의 Eric Monti 및 추가 익명의 연구원
로그인 윈도우
대상: OS X Mountain Lion v10.8~v10.8.2
영향: 키보드에 접근할 수 있는 공격자가 시스템 구성을 수정할 수 있음
설명: VoiceOver에서 로그인 윈도우를 처리할 때 키보드에 접근할 수 있는 공격자가 시스템 환경설정을 실행하여 시스템 구성을 수정할 수 있는 논리적 오류가 발생합니다. 이 문제는 VoiceOver가 로그인 윈도우에서 응용 프로그램을 실행하는 것을 방지하여 해결되었습니다.
CVE-ID
CVE-2013-0969: Purpletree Labs의 Eric A. Schulman
메시지
대상: OS X Mountain Lion v10.8~v10.8.2
영향: 메시지에서 링크를 클릭하면 메시지가 표시되지 않고 FaceTime 통화가 시작될 수 있음
설명: 메시지에서 특수한 형식의 FaceTime:// URL을 클릭한 경우 표준 확인 프롬프트를 우회할 수 있습니다. 이 문제는 FaceTime:// URL의 추가 검증을 통해 해결되었습니다.
CVE-ID
CVE-2013-0970: vtty.com의 Aaron Sigel
메시지 서버
대상: Mac OS X Server 10.6.8, OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 연결된 Jabber 메시지를 다시 라우팅할 수 있음
설명: Jabber 서버에서 다이얼 백 결과 메시지를 처리할 때 문제가 발생합니다. 공격자가 Jabber 서버에 연결된 서버의 사용자에게만 정보를 공개하도록 할 수 있습니다. 이 문제는 다이얼 백 결과 메시지의 처리 개선을 통해 해결되었습니다.
CVE-ID
CVE-2012-3525
PDFKit
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 PDF 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: PDF 파일의 잉크 주석을 처리할 때 use-after-free 문제가 발생합니다. 이 문제는 메모리 관리 개선을 통해 해결되었습니다.
CVE-ID
CVE-2013-0971: HP TippingPoint Zero Day Initiative의 Tobias Klein
Podcast Producer Server
대상: Mac OS X Server 10.6.8, OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 XML 매개변수를 처리할 때 형변환 문제가 발생합니다. 이 문제는 Podcast Producer Server에서 사용하는 Rails 구현에서 XML 매개변수를 사용하지 않도록 설정하여 해결되었습니다.
CVE-ID
CVE-2013-0156
Podcast Producer Server
대상: OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 JSON 데이터를 처리할 때 형변환 문제가 발생합니다. 이 문제는 Podcast Producer Server에서 사용하는 Rails 구현에서 JSON 분석에 JSONGem 백엔드를 사용하도록 전환하여 해결되었습니다.
CVE-ID
CVE-2013-0333
PostgreSQL
대상: Mac OS X Server 10.6.8, OS X Lion Server v10.7~v10.7.5
영향: PostgreSQL에서 여러 가지 취약점이 발생함
설명: PostgreSQL이 버전 9.1.5로 업데이트되어 여러 가지 취약점을 해결하는데, 이 중 가장 심각한 취약점으로 인해 데이터베이스 사용자가 데이터베이스 서버 역할 계정에 대한 권한을 지닌 파일 시스템에서 파일을 읽게 될 수 있습니다. 자세한 정보는 http://www.postgresql.org/docs/9.1/static/release-9-1-5.html에서 PostgreSQL 웹 사이트를 통해 확인할 수 있습니다
CVE-ID
CVE-2012-3488
CVE-2012-3489
프로파일 관리
대상: OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 XML 매개변수를 처리할 때 형변환 문제가 발생합니다. 이 문제는 프로파일 관리에서 사용하는 Rails 구현에서 XML 매개변수를 사용하지 않도록 설정하여 해결되었습니다.
CVE-ID
CVE-2013-0156
QuickTime
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 악의적으로 제작된 동영상 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: MP4 파일의 'rnet' 상자를 처리할 때 버퍼 오버플로우가 발생합니다. 이 문제는 범위 검사 개선을 통해 해결되었습니다.
CVE-ID
CVE-2012-3756: QuarksLab의 Kevin Szkudlapski
Ruby
대상: Mac OS X Server 10.6.8
영향: Rails 응용 프로그램이 실행 중인 경우 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 XML 매개변수를 처리할 때 형변환 문제가 발생합니다. 이 문제는 Rails의 XML 매개변수에서 YAML 및 기호를 사용하지 않도록 설정하여 해결되었습니다.
CVE-ID
CVE-2013-0156
보안
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
영향: 네트워크에서 특별한 위치에 있는 공격자가 사용자 자격 증명 또는 기타 기밀 정보를 가로챌 수 있음
설명: 일부 중간 CA 인증서가 TURKTRUST에 의해 잘못 발행되었습니다. 이로 인해 가로채기 공격자가 연결을 재지정하여 사용자 자격 증명 또는 기타 기밀 정보를 가로챌 수 있습니다. 이 문제는 잘못된 SSL 인증서를 허용하지 않아 해결되었습니다.
소프트웨어 업데이트
사용 대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5
영향: 권한 있는 네트워크 위치에 있는 공격자가 임의 코드를 실행할 수 있음
설명: 소프트웨어 업데이트 시 메시지 가로채기(man-in-the-middle) 공격자가 업데이트를 위해 표시된 마케팅 텍스트에 플러그인 콘텐츠를 삽입할 수 있습니다. 이로 인해 취약한 플러그인이 악용되거나 플러그인이 포함된 소셜 엔지니어링 공격이 용이해질 수 있습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다. 이 문제는 소프트웨어 업데이트의 마케팅 텍스트 WebView에 플러그인이 로드되는 것을 방지하여 해결되었습니다.
CVE-ID
CVE-2013-0973: Emilio Escobar
Wiki Server
대상: OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 XML 매개변수를 처리할 때 형변환 문제가 발생합니다. 이 문제는 Wiki Server에서 사용되는 Rails 구현에서 XML 매개변수를 사용하지 않도록 설정하여 해결되었습니다.
CVE-ID
CVE-2013-0156
Wiki Server
대상: OS X Lion Server v10.7~v10.7.5
영향: 원격 공격자가 임의 코드를 실행할 수 있음
설명: Ruby on Rails에서 JSON 데이터를 처리할 때 형변환 문제가 발생합니다. 이 문제는 Wiki Server에서 사용되는 Rails 구현에서 JSON 분석에 JSONGem 백엔드를 사용하도록 전환하여 해결되었습니다.
CVE-ID
CVE-2013-0333
악성 프로그램 제거
대상: Mac OS X 10.6.8, Mac OS X Server 10.6.8, OS X Lion v10.7~v10.7.5, OS X Lion Server v10.7~v10.7.5, OS X Mountain Lion v10.8~v10.8.2
설명: 이 업데이트에서는 악성 프로그램의 가장 일반적인 변수를 제거하는 악성 프로그램 제거 도구가 실행됩니다. 악성 프로그램이 발견되면 악성 프로그램이 제거되었음을 사용자에게 알리는 대화상자가 나타납니다. 악성 프로그램이 발견되지 않으면 사용자에게 아무 표시도 나타나지 않습니다.
일부 국가 또는 지역에서는 FaceTime을 사용할 수 없습니다.
Apple이 제조하지 않은 제품에 관한 정보 또는 Apple의 관리 또는 테스트 대상이 아닌 독립적인 웹 사이트는 권장 또는 보증 없이 제공되는 것입니다. Apple은 타사 웹 사이트 또는 제품에 대한 선택, 성능 및 사용과 관련하여 발생하는 결과에 대해 책임을 지지 않습니다. Apple은 타사 웹 사이트의 정확성 또는 신뢰도에 대해 어떠한 언급도 하지 않습니다. 자세한 내용은 해당 업체에 문의하시기 바랍니다.