Safari 11.1의 보안 콘텐츠에 관하여

이 문서에서는 Safari 11.1의 보안 콘텐츠에 대해 설명합니다.

Apple 보안 업데이트에 관하여

Apple은 고객 보호를 위해 조사를 마치고 패치 또는 출시 버전을 제공할 수 있을 때까지는 보안 문제를 공개하거나, 논의하거나, 확인해 주지 않습니다. 최신 출시 버전은 Apple 보안 업데이트 페이지에 나와 있습니다.

보안에 대한 자세한 내용은 Apple 제품 보안 페이지를 참조하십시오. Apple 제품 보안 PGP 키를 사용하여 Apple과의 통신을 암호화할 수 있습니다.

Apple 보안 문서에서는 가능한 경우 취약점을 CVE-ID로 표시합니다.

Safari 11.1

Safari

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적인 웹 사이트를 방문하면 주소 표시줄 스푸핑이 발생할 수 있음

설명: 일관되지 않은 사용자 인터페이스 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2018-4102: 3H 보안 팀의 Kai Zhao

CVE-2018-4116: @littlelailo, Tencent Xuanwu Lab(tencent.com)의 xisigr

Safari 다운로드

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 개인정보 보호 브라우징 사용 시 다운로드 목록에서 일부 다운로드가 삭제되지 않았음

설명: Safari 개인정보 보호 브라우징 사용 시 다운로드를 처리할 때 정보 유출 문제가 있었으나 이 문제는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4186: 익명의 연구원

Safari 로그인 자동 완성

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적인 웹 사이트가 명시적인 사용자 상호 작용 없이 Safari의 자동 완성 데이터를 유출시킬 수 있음

설명: Safari 자동 완성은 작동하기 전에 명시적인 사용자 상호 작용이 필요하지 않았지만 이 문제는 향상된 자동 완성 추론을 통해 해결되었습니다.

CVE-2018-4137

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 임의 코드가 실행될 수 있음

설명: 여러 가지 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4101: Ant-financial Light-Year Security Lab의 Yuan Deng

CVE-2018-4114: OSS-Fuzz에서 발견함

CVE-2018-4118: Jun Kokatsu(@shhnjk)

CVE-2018-4119: Trend Micro의 Zero Day Initiative에 참여 중인 익명의 연구원

CVE-2018-4120: Qihoo 360 Vulcan Team의 Hanming Zhang(@4shitak4)

CVE-2018-4121: Google Project Zero의 natashenka

CVE-2018-4122: Trend Micro의 Zero Day Initiative 소속 WanderingGlitch

CVE-2018-4125: Trend Micro의 Zero Day Initiative 소속 WanderingGlitch

CVE-2018-4127: Trend Micro의 Zero Day Initiative에 참여 중인 익명의 연구원

CVE-2018-4128: Zach Markley

CVE-2018-4129: Trend Micro의 Zero Day Initiative에 참여 중인 Baidu Security Lab의 likemeng

CVE-2018-4130: Trend Micro의 Zero Day Initiative에 참여 중인 Omair

CVE-2018-4161: Trend Micro의 Zero Day Initiative 소속 WanderingGlitch

CVE-2018-4162: Trend Micro의 Zero Day Initiative 소속 WanderingGlitch

CVE-2018-4163: Trend Micro의 Zero Day Initiative 소속 WanderingGlitch

CVE-2018-4165: Qihoo 360 Vulcan Team의 Hanming Zhang(@4shitak4)

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적으로 제작된 웹 사이트를 방문하는 경우 크로스 사이트 스크립팅 공격을 당할 수 있음

설명: Safari에서 사이트 간 스크립팅 문제가 발생했으나 이 문제는 향상된 URL 유효성 확인을 통해 해결되었습니다.

CVE-2018-4133: Wallarm의 Anton Lopanitsyn, Detectify(detectify.com)의 Linus Särud, NTT Communications Corporation의 Yuji Tounai

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 인덱싱 유형과의 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: javascript core에서 함수를 처리할 때 배열 인덱싱 문제가 발생했으나 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4113: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 서비스 거부가 발생할 수 있음

설명: 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2018-4146: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적인 웹 사이트가 출처 간 데이터를 유출시킬 수 있음

설명: Fetch API에서 출처 간 문제가 발생했으나 이 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2018-4117: 익명의 연구원 2명

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4207: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4208: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4209: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 인덱싱 유형과의 예상치 못한 상호 작용으로 오류가 발생함

설명: javascript core에서 함수를 처리할 때 배열 인덱싱 문제가 발생했으나 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4210: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4212: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 예상치 못한 상호 작용으로 ASSERT 오류가 발생함

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2018-4213: OSS-Fuzz에서 발견함

WebKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6 및 macOS High Sierra 10.13.4

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 코드가 실행될 수 있음

설명: 여러 가지 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4145: OSS-Fuzz에서 발견함

감사의 말

WebKit

도움을 주신 Tinder Security Team의 Johnny Nipper 님께 감사드립니다.