OS X Mountain Lion v10.8.2, OS X Lion v10.7.5 및 보안 업데이트 2012-004의 보안 내용 정보
OS X Mountain Lion v10.8.2, OS X Lion v10.7.5 및 보안 업데이트 2012-004의 보안 내용에 대해 알아봅니다.
이 문서에서는 OS X Mountain Lion v10.8.2, OS X Lion v10.7.5 및 보안 업데이트 2012-004의 보안 내용에 대해 설명합니다.
Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시를 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용을 알아보려면 Apple 제품 보안 웹 사이트를 참조하십시오.
Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.
가능한 경우 CVE ID로 취약성에 대한 추가 정보를 참조할 수 있습니다.
다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.
OS X Mountain Lion v10.8.2, OS X Lion v10.7.5 및 보안 업데이트 2012-004
참고: OS X Mountain Lion v10.8.2에는 Safari 6.0.1 콘텐츠가 있습니다. 자세한 내용은 Safari 6.0.1의 보안 내용 정보를 참조하십시오.
Apache
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: Apache의 여러 가지 취약점
설명: 여러 가지 취약점을 해결하기 위해 Apache가 버전 2.2.22로 업데이트되었습니다. 이 중 가장 심각한 취약점으로 인해 서비스 거부가 발생할 수 있습니다. 자세한 내용은 Apache 웹 사이트 http://httpd.apache.org/에서 확인할 수 있습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-3368
CVE-2011-3607
CVE-2011-4317
CVE-2012-0021
CVE-2012-0031
CVE-2012-0053
BIND
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 원격 공격자로 인해 BIND를 DNS 이름 서버로 실행하도록 구성된 시스템에서 서비스가 거부될 수 있습니다
설명: DNS 레코드를 처리하는 중에 연결할 수 있는 어설션 문제가 발생합니다. 이 문제는 BIND 9.7.6-P1로 업데이트하여 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-4313
BIND
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4, OS X Mountain Lion v10.8 및 v10.8.1
영향: 원격 공격자로 인해 서비스 거부, 데이터 손상이 발생하거나, BIND를 DNS 이름 서버로 실행하도록 구성된 시스템의 프로세스 메모리에서 중요한 정보를 가져올 수 있습니다.
설명: DNS 레코드를 처리하는 중에 메모리 관리 문제가 발생합니다. 이 문제는 OS X Lion 시스템에서 BIND 9.7.6-P1로 업데이트하고 OS X Mountain Lion 시스템에서 BIND 9.8.3-P1로 업데이트하여 해결되었습니다.
CVE-ID
CVE-2012-1667
CoreText
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: CoreText를 사용하는 응용 프로그램은 예기치 않은 응용 프로그램 종료나 임의 코드 실행에 취약할 수 있습니다.
설명: 텍스트 문자를 처리하는 중에 경계 검사 문제가 발생하여 메모리 읽기 또는 쓰기 범위를 벗어나는 문제가 발생할 수 있습니다. 이 문제는 향상된 범위 검사를 통해 해결되었습니다. 이 문제는 Mac OS X v10.6 또는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-3716: Mozilla Corporation의 Jesse Ruderman
데이터 보안
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4, OS X Mountain Lion v10.8 및 v10.8.1
영향: 권한 있는 네트워크 위치에 있는 공격자가 사용자 자격 증명 또는 기타 중요 정보를 가로챌 수 있습니다.
설명: TrustWave는 신뢰할 수 있는 루트 CA로, 신뢰할 수 있는 앵커 중 하나로부터 하위 CA 인증서를 발급하고 이어서 해지합니다. 이 하위 CA가 TLS(Transport Layer Security)에서 보호한 통신 인터셉션을 가능하게 합니다. 이 업데이트는 관련된 하위 CA 인증서를 OS X의 신뢰할 수 없는 인증서 목록에 추가합니다.
DirectoryService
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8
영향: DirectoryService 프록시를 사용하는 경우 원격 공격자가 서비스 거부 또는 임의 코드 실행을 야기할 수 있습니다.
설명: DirectoryService 프록시에 버퍼 오버플로우가 발생했습니다. 이 문제는 향상된 범위 검사를 통해 해결되었습니다. 이 문제는 OS X Lion 및 Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-0650: HP Zero Day Initiative의 aazubel
ImageIO
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 PNG 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음
설명: libpng에서 PNG 이미지를 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 이러한 문제는 향상된 PNG 이미지 검증을 통해 해결되었습니다. 이러한 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-3026: Jüri Aedla
CVE-2011-3048
ImageIO
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 TIFF 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: libTIFF에서 TIFF 이미지를 처리할 때 정수 오버플로우 문제가 발생합니다. 이 문제는 향상된 TIFF 이미지 검증을 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-1173: HP Zero Day Initiative의 Alexander Gavrun
설치 프로그램
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 시스템에 물리적으로 액세스할 수 있는 원격 관리자와 사용자가 계정 정보를 얻을 수 있습니다.
설명: OS X Lion 10.7.4의 CVE-2012-0652에 대한 수정으로 인해 사용자 암호가 시스템 로그에 기록되지 않았지만 이전 로그 항목이 제거되지 않았습니다. 이 문제는 암호가 있는 로그 파일을 삭제하여 해결되었습니다. 이 문제는 Mac OS X 10.6 또는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-0652
유니코드용 다국어 구성 요소
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: ICU를 사용하는 응용 프로그램은 예기치 않은 응용 프로그램 종료나 임의 코드 실행에 취약할 수 있습니다.
설명: ICU 로캘 ID를 처리할 때 스택 버퍼 오버플로우가 발생합니다. 이 문제는 향상된 범위 검사를 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-4599
커널
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악성 프로그램이 샌드박스 제한을 우회할 수 있습니다.
설명: 디버그 시스템 호출을 처리할 때 논리 문제가 발생합니다. 이로 인해 악성 프로그램이 동일한 사용자 권한으로 다른 프로그램에서 코드를 실행할 수 있습니다. 이 문제는 PT_STEP 및 PT_CONTINUE의 주소 처리를 비활성화하여 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-0643: 2012 iOS Jailbreak Dream Team
LoginWindow
대상: OS X Mountain Lion v10.8 및 v10.8.1
영향: 로컬 사용자가 다른 사용자의 로그인 암호를 얻을 수 있습니다.
설명: 사용자가 설치한 입력 방법으로 로그인 윈도우나 화면 보호기 잠금 해제의 암호 키 입력을 차단할 수 있습니다. 이 문제는 시스템에서 로그인 정보를 처리할 때 사용자가 설치한 방법을 사용할 수 없도록 하여 해결되었습니다.
CVE-ID
CVE-2012-3718: Lukhnos Liu
Mail
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 이메일 메시지 보기로 인해 웹 플러그인이 실행될 수 있습니다.
설명: Mail에서 내장된 웹 플러그인을 처리하는 동안 입력 검증 문제가 발생했습니다. 이 문제는 Mail의 타사 플러그인을 비활성화하여 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-3719: CERT/CC의 Will Dormann
모바일 계정
대상: OS X Mountain Lion v10.8 및 v10.8.1
영향: 모바일 계정의 콘텐츠에 액세스할 수 있는 사용자가 계정 암호를 얻을 수 있습니다.
설명: 모바일 계정을 만들면 모바일 계정을 외부 계정으로 사용할 때 로그인에 사용되는 계정에 암호 해시가 저장됩니다. 암호 해시는 사용자의 암호를 확인하는 데 사용될 수 있습니다. 이 문제는 외부 계정이 모바일 계정을 생성한 시스템에서 활성화된 경우에 한해 암호 해시를 생성하여 해결되었습니다.
CVE-ID
CVE-2012-3720: Google, Inc.의 Harald Wagener
PHP
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4, OS X Mountain Lion v10.8 및 v10.8.1
영향: PHP에 여러 가지 취약점이 있습니다.
설명: >여러 취약점을 해결하기 위해 PHP가 버전 5.3.15로 업데이트되었습니다. 이 중 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있습니다. 자세한 내용은 PHP 웹 사이트(http://www.php.net)를 통해 확인할 수 있습니다.
CVE-ID
CVE-2012-0831
CVE-2012-1172
CVE-2012-1823
CVE-2012-2143
CVE-2012-2311
CVE-2012-2386
CVE-2012-2688
PHP
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: libpng를 사용하는 PHP 스크립트는 예기치 않은 응용 프로그램 종료나 임의 코드 실행에 취약할 수 있습니다.
설명: PNG 파일을 처리할 때 메모리 손상 문제가 발생했습니다. 이 문제는 PHP에서 libpng 복사본을 1.5.10 버전으로 업데이트하여 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-3048
프로파일 관리
대상: OS X Lion Server v10.7~v10.7.4
영향: 인증되지 않은 사용자가 관리되는 장비를 열거할 수 있습니다.
설명: 장비 관리 개인 인터페이스에 인증 문제가 발생했습니다. 이 문제는 인터페이스를 제거하여 해결되었습니다.
이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-3721: XEquals Corporation의 Derick Cassidy
QuickLook
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 .pict 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: .pict 파일을 처리할 때 메모리 손상 문제가 발생했습니다. 이 문제는 향상된 .pict 파일 검증을 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-0671: Qualys Vulnerability & Malware Research Labs(VMRL)의 Rodrigo Rubira Branco(twitter.com/bsdaemon)
QuickTime
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 동영상 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: QuickTime에서 sean 요소를 처리할 때 정수 오버플로우가 발생합니다. 이 문제는 향상된 범위 검사를 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-0670: HP Zero Day Initiative를 통해 보고한 Tom Gallagher(Microsoft) 및 Paul Bates(Microsoft)
QuickTime
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 동영상 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: Sorenson으로 인코딩된 동영상 파일을 처리할 때 메모리 액세스가 초기화되지 않는 문제가 발생합니다. 이 문제는 향상된 메모리 초기화를 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-3722: CERT/CC의 Will Dormann
QuickTime
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 악의적으로 제작된 동영상 파일을 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: RLE로 인코딩된 동영상 파일을 처리할 때 버퍼 오버플로우가 발생합니다. 이 문제는 향상된 범위 검사를 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-0668: HP Zero Day Initiative의 Luigi Auriemma
Ruby
대상: Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: 공격자가 SSL로 보호되는 데이터의 암호를 해제할 수 있습니다.
설명: 일련의 암호가 CBC 모드에서 블록 암호를 사용할 때 SSL 3.0 및 TLS 1.0의 기밀성을 침해하는 공격이 몇 가지 있습니다. Ruby OpenSSL 모듈은 이러한 공격을 차단했던 '빈 프래그먼트' 보호 조치를 비활성화했습니다. 이 문제는 빈 프래그먼트를 활성화하여 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2011-3389
USB
대상: OS X Lion v10.7~v10.7.4, OS X Lion Server v10.7~v10.7.4
영향: USB 장비에 연결하면 시스템이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다.
설명: USB 허브 설명자를 처리할 때 메모리 손상 문제가 발생했습니다. 이 문제는 bNbrPorts descriptor 설명자 필드의 향상된 처리를 통해 해결되었습니다. 이 문제는 OS X Mountain Lion 시스템에 영향을 주지 않습니다.
CVE-ID
CVE-2012-3723: NGS Secure의 Andy Davis
Apple이 제조하지 않은 제품에 관한 정보 또는 Apple의 관리 또는 테스트 대상이 아닌 독립적인 웹 사이트는 권장 또는 보증 없이 제공되는 것입니다. Apple은 타사 웹 사이트 또는 제품에 대한 선택, 성능 및 사용과 관련하여 발생하는 결과에 대해 책임을 지지 않습니다. Apple은 타사 웹 사이트의 정확성 또는 신뢰도에 대해 어떠한 언급도 하지 않습니다. 자세한 내용은 해당 업체에 문의하시기 바랍니다.