보안 업데이트 2014-002에 관하여
이 문서에서는 보안 업데이트 2014-002의 보안 콘텐츠에 대해 설명합니다.
이 업데이트는 소프트웨어 업데이트 또는 Apple 지원 웹 사이트를 통해 다운로드하여 설치할 수 있습니다.
Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.
Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.
가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.
다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.
CFNetwork HTTPProtocol
대상: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5, OS X Mavericks 10.9.2
영향: 권한 있는 네트워크 위치에 있는 공격자가 웹 사이트 자격 증명을 얻을 수 있음
설명: 헤더 행이 완료되기 전에 연결이 닫히더라도 Set-Cookie HTTP 헤더가 처리됩니다. 공격자는 보안 설정이 전송되기 전에 연결을 강제로 닫아 쿠키에서 보안 설정을 제거한 다음 보호되지 않은 쿠키의 값을 얻을 수 있습니다. 이 문제는 불완전한 HTTP 헤더 행을 무시하여 해결되었습니다.
CVE-ID
CVE-2014-1296: Inria Paris의 Prosecco 소속 Antoine Delignat-Lavaud
CoreServicesUIAgent
대상: OS X Mavericks 10.9.2
영향: 악의적으로 제작된 웹사이트 또는 URL을 방문하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: URL을 처리할 때 형식 문자열 문제가 발생했으나 이 문제는 URL에 대한 추가 유효성 확인을 통해 해결되었습니다. OS X Mavericks 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2014-1315: runic.pl의 Lukasz Pilorz, Erik Kooistra
FontParser
대상: OS X Mountain Lion v10.8.5
영향: 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: PDF 파일의 서체를 처리할 때 버퍼 언더플로우가 발생했으나 이 문제는 추가적인 범위 검사를 통해 해결되었습니다. OS X Mavericks가 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2013-5170: CERT/CC의 Will Dormann
Heimdal Kerberos
대상: OS X Mavericks 10.9.2
영향: 원격 공격자가 서비스 거부를 야기할 수 있음
설명: ASN.1 데이터를 처리할 때 도달 가능한 중단이 발생했으나 이 문제는 ASN.1 데이터에 대한 추가 유효성 확인을 통해 해결되었습니다.
CVE-ID
CVE-2014-1316: Codenomicon의 Joonas Kuorilehto
ImageIO
대상: OS X Mavericks 10.9.2
영향: 악의적으로 제작된 JPEG 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: ImageIO에서 JPEG 이미지를 처리할 때 버퍼 오버플로우 문제가 발생했으나 이 문제는 향상된 범위 검사를 통해 해결되었습니다. OS X Mavericks 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2014-1319: Modulo Consulting의 Cristian Draghici, NCC Group의 Karl Smith
Intel Graphics Driver
대상: OS X Mountain Lion v10.8.5 및 OS X Mavericks 10.9.2
영향: 악성 응용 프로그램이 시스템을 제어할 수 있음
설명: 사용자 공간에서 포인터를 처리할 때 유효성 확인 문제가 발생했으나 이 문제는 포인터에 대한 추가 유효성 확인을 통해 해결되었습니다.
CVE-ID
CVE-2014-1318: HP의 Zero Day Initiative에 참여 중인 Google Project Zero의 Ian Beer
IOKit Kernel
대상: OS X Mavericks 10.9.2
영향: 로컬 사용자가 커널 ASLR(Address Space Layout Randomization)을 우회하는 데 사용될 수 있는 커널 포인터를 읽을 수 있음
설명: IOKit 객체에 저장된 커널 포인터 세트를 userland에서 가져올 수 있습니다. 이 문제는 객체에서 포인터를 제거하여 해결되었습니다.
CVE-ID
CVE-2014-1320: HP의 Zero Day Initiative에 참여 중인 Google Project Zero의 Ian Beer
Kernel
대상: OS X Mavericks 10.9.2
영향: 로컬 사용자가 커널 ASLR(Address Space Layout Randomization)을 우회하는 데 사용될 수 있는 커널 포인터를 읽을 수 있음
설명: XNU 객체에 저장된 커널 포인터를 userland에서 가져올 수 있습니다. 이 문제는 객체에서 포인터를 제거하여 해결되었습니다.
CVE-ID
CVE-2014-1322: Google Project Zero의 Ian Beer
Power Management
대상: OS X Mavericks 10.9.2
영향: 화면이 잠기지 않을 수 있음
설명: 덮개를 닫은 직후에 키를 누르거나 트랙패드를 터치한 경우, 시스템이 잠자기 상태로 전환되는 과정에서 깨어나려고 시도하여 화면이 잠금 해제될 수 있었습니다. 이 문제는 잠자기 상태로 전환하는 동안 키 누름을 무시하여 해결되었습니다. OS X Mavericks 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2014-1321: Stratis Health Bloomington MN의 Paul Kleeberg, Baden-Wuerttemberg Cooperative State University(DHBW Stuttgart)의 Julian Sincu, R&A의 Gerben Wierda, Daniel Luz
Ruby
대상: OS X Mavericks 10.9.2
영향: 신뢰할 수 없는 YAML 태그를 처리하는 Ruby 스크립트를 실행하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: LibYAML에서 YAML 태그를 처리할 때 정수 오버플로우 문제가 발생했으나 이 문제는 YAML 태그에 대한 추가 유효성 확인을 통해 해결되었습니다. OS X Mavericks 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2013-6393
Ruby
대상: OS X Lion v10.7.5, OS X Lion Server v10.7.5, OS X Mountain Lion v10.8.5 및 OS X Mavericks 10.9.2
영향: 신뢰할 수 없는 입력을 사용하여 부동 소수점 객체를 만드는 Ruby 스크립트를 실행하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: 문자열을 부동 소수점 값으로 변환할 때 Ruby에서 힙 기반 오버플로우 버퍼 문제가 발생했으나 이 문제는 부동 소수점 값에 대한 추가 유효성 확인을 통해 해결되었습니다.
CVE-ID
CVE-2013-4164
Security - Secure Transport
대상: OS X Mountain Lion v10.8.5 및 OS X Mavericks 10.9.2
영향: 권한 있는 네트워크 위치에 있는 공격자가 SSL/TLS로 보호되는 세션에서 데이터를 캡처하거나 수행되는 작업을 변경할 수 있음
설명: '트리플 핸드셰이크' 공격에서 공격자는 동일한 암호화 키와 핸드셰이크를 가진 두 개의 연결을 설정하고, 공격자의 데이터를 하나의 연결에 삽입하고, 연결이 서로에게 전달되도록 재협상할 수 있었습니다. 이 시나리오에 기반한 공격을 방지하기 위해, 보안 전송은 기본적으로 재협상 시 원래 연결에서 제시된 것과 동일한 서버 인증서를 제시해야 하도록 변경되었습니다. Mac OS X 10.7 및 이전 버전이 설치된 시스템은 이 문제의 영향을 받지 않습니다.
CVE-ID
CVE-2014-1295: Inria Paris의 Prosecco 소속 Antoine Delignat-Lavaud, Karthikeyan Bhargavan 및 Alfredo Pironti
WindowServer
대상: OS X Mountain Lion v10.8.5 및 OS X Mavericks 10.9.2
영향: 악의적으로 제작된 응용 프로그램이 샌드 박스 외부에서 임의 코드를 실행할 수 있음
설명: WindowServer 세션이 샌드 박스가 적용된 응용 프로그램에 의해 생성될 수 있습니다. 이 문제는 샌드 박스가 적용된 응용 프로그램이 WindowServer 세션을 만들지 못하도록 하여 해결되었습니다.
CVE-ID
CVE-2014-1314: HP의 Zero Day Initiative에 참여 중인 KeenTeam
참고: OS X Mavericks 시스템용 보안 업데이트 2014-002에는 Safari 7.0.3의 보안 콘텐츠가 포함되어 있습니다.
Apple이 제조하지 않은 제품에 관한 정보 또는 Apple의 관리 또는 테스트 대상이 아닌 독립적인 웹 사이트는 권장 또는 보증 없이 제공되는 것입니다. Apple은 타사 웹 사이트 또는 제품에 대한 선택, 성능 및 사용과 관련하여 발생하는 결과에 대해 책임을 지지 않습니다. Apple은 타사 웹 사이트의 정확성 또는 신뢰도에 대해 어떠한 언급도 하지 않습니다. 자세한 내용은 해당 업체에 문의하시기 바랍니다.