이 문서는 아카이브 처리되었으며 Apple은 더 이상 이 문서를 업데이트하지 않습니다.

iPhone v2.1의 보안 콘텐츠에 관하여

이 문서에서는 iPhone v2.1의 보안 콘텐츠에 대해 설명합니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.

가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.

iPhone v2.1

  • Application Sandbox

    CVE-ID: CVE-2008-3631

    대상: iPhone v2.0~v2.0.2

    영향: 한 응용 프로그램이 다른 응용 프로그램의 파일을 읽을 수 있음

    설명: 응용 프로그램 샌드박스가 타사 응용 프로그램 간의 접근 제한을 제대로 적용하지 않습니다. 이로 인해 타사 응용 프로그램이 다른 타사 응용 프로그램의 샌드박스에 있는 파일을 읽을 수 있어 민감한 정보가 노출될 수 있습니다. 이 업데이트에서는 응용 프로그램 샌드박스 간의 접근 제한을 제대로 적용하는 방식으로 문제를 해결합니다. 이 문제를 보고해 주신 Sen:te의 Nicolas Seriot 님과 Bryce Cogswell 님께 감사드립니다. iPhone v2.0 이전 모델은 이 문제의 영향을 받지 않습니다.

  • CoreGraphics

    CVE-ID: CVE-2008-1806, CVE-2008-1807, CVE-2008-1808

    대상: iPhone v1.0~v2.0.2

    영향: FreeType v2.3.5에 여러 가지 취약점이 존재함

    설명: FreeType v2.3.5에 여러 가지 취약점이 존재하며, 이 중 가장 심각한 취약점으로 인해 악의적으로 제작된 서체 데이터에 접근할 때 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 FreeType 2.3.6 버전의 보안 수정 사항을 통합하는 방식으로 문제를 해결합니다. 자세한 내용은 FreeType 사이트에서 확인할 수 있습니다. 사이트: http://www.freetype.org/

  • mDNSResponder

    CVE-ID: CVE-2008-1447

    대상: iPhone v1.0~v2.0.2

    영향: mDNSResponder는 DNS 캐시 포이즈닝에 취약하며 위조된 정보를 반환할 수 있음

    설명: mDNSResponder는 유니캐스트 DNS 확인 API를 사용하는 응용 프로그램에 호스트 이름과 IP 주소 간의 변환을 제공합니다. DNS 프로토콜의 취약점으로 인해 원격 공격자가 DNS 캐시 포이즈닝 공격을 수행할 수 있습니다. 따라서 DNS를 위해 mDNSResponder를 사용하는 응용 프로그램은 위조된 정보를 수신할 수 있습니다. 이 업데이트에서는 캐시 포이즈닝 공격에 대한 복원력을 향상하기 위해 소스 포트 및 트랜잭션 ID 랜덤 설정을 구현하는 방식으로 문제를 해결합니다. 이 문제를 보고해 주신 IOActive의 Dan Kaminsky 님께 감사드립니다.

  • Networking

    CVE-ID: CVE-2008-3612

    대상: iPhone v1.0~v2.0.2

    영향: 예측 가능한 TCP 초기 시퀀스 번호 생성으로 인해 TCP 스푸핑 또는 세션 가로채기가 발생할 수 있음

    설명: TCP 초기 시퀀스 번호가 순차적으로 생성됩니다. 원격 공격자는 예측 가능한 초기 시퀀스 번호를 사용하여 스푸핑된 TCP 연결을 생성하거나 기존 TCP 연결에 데이터를 삽입할 수 있습니다. 이 업데이트에서는 임의의 TCP 초기 시퀀스 번호를 생성하는 방식으로 문제를 해결합니다.

  • Passcode Lock

    CVE-ID: CVE-2008-3633

    대상: iPhone v2.0~v2.0.2

    영향: 승인되지 않은 사용자가 암호 잠금을 우회하여 iPhone 응용 프로그램을 실행할 수 있음

    설명: 암호 잠금 기능은 올바른 암호를 입력하지 않는 한 응용 프로그램이 실행되는 것을 방지하도록 설계되었습니다. 긴급통화를 처리할 때 구현 문제로 인해 iPhone에 물리적으로 접근할 수 있는 사용자가 긴급통화에서 홈 버튼을 두 번 클릭하여 암호 없이 응용 프로그램을 실행할 수 있습니다. 이 업데이트에서는 향상된 긴급통화 처리를 통해 문제를 해결합니다. 이 문제를 보고해 주신 The University of Iowa의 Department of Electrical and Computer Engineering 소속 Matthew Yohe 님께 감사드립니다. iPhone v2.0 이전 모델은 이 문제의 영향을 받지 않습니다.

  • WebKit

    CVE-ID: CVE-2008-3632

    대상: iPhone v1.0~v2.0.2

    영향: 악의적으로 제작된 웹 사이트를 방문하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

    설명: WebKit에서 CSS import 문을 처리할 때 use-after-free 문제가 발생합니다. 악의적으로 제작된 웹 사이트를 방문하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 문서 참조 처리를 통해 문제를 해결합니다.

게시일: