보안 업데이트 2009-005에 관하여

이 문서에서는 보안 업데이트 2009-005에 대해 설명합니다.

Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용은 Apple 제품 보안 웹 사이트를 참조하십시오.

Apple 제품 보안 PGP 키에 관한 자세한 내용은 'Apple 제품 보안 PGP 키 사용 방법'을 참조하십시오.

가능한 경우 CVE ID로 취약성에 대한 추가 정보를 확인할 수 있습니다.

다른 보안 업데이트에 대한 자세한 내용은 'Apple 보안 업데이트'를 참조하십시오.

보안 업데이트 2009-005

• Alias Manager

  CVE-ID: CVE-2009-2800

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악의적으로 제작된 별칭 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: 별칭 파일을 처리할 때 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 별칭 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• CarbonCore

  CVE-ID: CVE-2009-2803

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악의적으로 제작된 리소스 포크로 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: Resource Manager가 리소스 포크를 처리할 때 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 리소스 포크가 있는 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 리소스 포크 유효성 확인을 통해 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• ClamAV

  CVE-ID: CVE-2009-1241, CVE-2009-1270, CVE-2008-6680, CVE-2009-1371, CVE-2009-1372

  대상: Mac OS X Server v10.5.8

  영향: ClamAV 0.94.2에 여러 가지 취약점이 존재함

  설명: ClamAV 0.94.2에 여러 가지 취약점이 존재하며, 이 중 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있습니다. 이 업데이트는 ClamAV를 버전 0.95.2로 업데이트하는 방식으로 문제를 해결합니다. ClamAV는 Mac OS X Server 시스템으로만 배포됩니다. 자세한 내용은 ClamAV 웹 사이트(http://www.clamav.net/)에서 확인할 수 있습니다. Mac OS X v10.6 시스템은 이러한 문제의 영향을 받지 않습니다.

• ColorSync

  CVE-ID: CVE-2009-2804

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 내장된 ColorSync 프로파일을 사용하여 악의적으로 제작된 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: 내장된 ColorSync 프로파일을 사용하여 악의적으로 제작된 이미지를 처리할 때 정수 오버플로우가 발생하며, 이로 인해 힙 버퍼 오버플로우가 야기될 수 있습니다. 내장된 ColorSync 프로파일이 있는 악의적으로 제작된 이미지를 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트는 ColorSync 프로파일에 대한 유효성을 추가로 확인하는 방식으로 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• CoreGraphics

  CVE-ID: CVE-2009-2805

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악의적으로 제작된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: CoreGraphics에서 PDF 파일을 처리할 때 정수 오버플로우가 발생하며, 이로 인해 힙 버퍼 오버플로우가 야기될 수 있습니다. 악의적으로 제작된 JBIG2 스트림이 포함된 PDF 파일을 열면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. 이 문제를 보고해 주신 CERT/CC의 Will Dormann 님께 감사드립니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다.

• CoreGraphics

  CVE-ID: CVE-2009-2468

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악의적으로 제작된 웹 사이트를 방문하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: 긴 텍스트 문자열을 그릴 때 힙 버퍼 오버플로우가 발생합니다. 악의적으로 제작된 웹 사이트를 방문하는 경우 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 Google Inc.의 Will Drewry 님께 감사드립니다.

• CUPS

  CVE-ID: CVE-2009-0949

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 원격 공격자가 프린터 공유 서비스에 대한 접근을 거부할 수 있음

  설명: CUPS에 null 포인터 역참조가 발생합니다. 원격 공격자는 악의적으로 제작된 스케줄러 요청을 반복적으로 보내 프린터 공유 서비스에 대한 접근을 거부할 수 있습니다. 이 업데이트는 향상된 스케줄러 요청 유효성 확인을 통해 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 Core Security Technologies CORE IMPACT EWT(Exploit Writing Team)의 Anibal Sacco 님께 감사드립니다.

• CUPS

  CVE-ID: CVE-2009-2807

  대상: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 권한이 없는 로컬 사용자가 시스템 권한을 얻을 수 있음

  설명: CUPS USB 백엔드에서 힙 버퍼 오버플로우가 발생합니다. 이로 인해 로컬 사용자가 시스템 권한을 얻을 수 있습니다. 이 업데이트에서는 향상된 범위 검사를 통해 문제를 해결합니다. Mac OS X v10.5 이전 버전이 설치된 시스템 또는 Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다.

• Flash Player 플러그인

  CVE-ID: CVE-2009-1862, CVE-2009-1863, CVE-2009-1864, CVE-2009-1865, CVE-2009-1866, CVE-2009-1867, CVE-2009-1868, CVE-2009-1869, CVE-2009-1870

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: Adobe Flash Player 플러그인에 여러 가지 취약점이 존재함

  설명: Adobe Flash Player 플러그인에 여러 가지 문제가 존재하며, 이 중 가장 심각한 문제로 인해 악의적으로 제작된 웹 사이트를 볼 때 임의 코드가 실행될 수 있습니다. 이 문제는 Mac OS v10.5.8에서 Flash Player 플러그인을 버전 10.0.32.18로, 그리고 Mac OS X v10.4.11 시스템에서 버전 9.0.246.0으로 업데이트하는 방식으로 해결되었습니다. Mac OS X v10.6 시스템의 경우, 이러한 문제는 Mac OS X v10.6.1에서 해결되었습니다. 자세한 내용은 Adobe 웹 사이트에서 확인할 수 있습니다. http://www.adobe.com/support/security/bulletins/apsb09-10.html

• ImageIO

  CVE-ID: CVE-2009-2809

  대상: Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악의적으로 제작된 PixarFilm 인코딩된 TIFF 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

  설명: ImageIO에서 PixarFilm 인코딩된 TIFF 이미지를 처리할 때 여러 가지 메모리 손상 문제가 발생합니다. 악의적으로 제작된 PixarFilm 인코딩된 TIFF 이미지를 보면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있습니다. 이 업데이트에서는 PixarFilm 인코딩된 TIFF 이미지에 대한 추가 유효성 확인을 통해 문제를 해결합니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• Launch Services

  CVE-ID: CVE-2009-2811

  대상: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 안전하지 않은 다운로드된 파일을 열려고 시도할 때 경고가 표시되지 않을 수 있음

  설명: 이 업데이트는 이메일에서 다운로드하는 경우와 같은 특정 상황에서 잠재적으로 안전하지 않은 것으로 플래그가 지정될 시스템의 콘텐츠 유형 목록에 '.fileloc'를 추가합니다. 이러한 콘텐츠 유형은 자동으로 열리지 않지만 수동으로 열면 악성 페이로드가 실행될 수 있습니다. 이 업데이트는 '.fileloc' 파일을 처리하기 전에 사용자에게 알려주도록 시스템의 기능을 향상시킵니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• Launch Services

  CVE-ID: CVE-2009-2812

  대상: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: 악성 웹 사이트를 방문하면 임의 코드가 실행될 수 있음

  설명: 응용 프로그램이 다운로드되면 Launch Services는 내보낸 문서 유형을 분석합니다. 내보낸 문서 요형을 처리할 때 발생하는 설계 문제로 인해 Launch Services가 안전한 파일 확장자를 안전하지 않은 UTI(Uniform Type Identifier)와 연결할 수 있습니다. 악성 웹 사이트를 방문하면 안전하지 않은 파일 유형이 자동으로 열릴 수 있습니다. 이 업데이트는 신뢰할 수 없는 응용 프로그램의 내보낸 문서 유형 처리를 개선하는 방식으로 문제를 해결합니다. Mac OS X v10.5 이전 버전이 설치된 시스템 또는 Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.

• MySQL

  CVE-ID: CVE-2008-2079

  대상: Mac OS X Server v10.5.8

  영향: MySQL이 버전 5.0.82로 업데이트됨

  설명: 로컬 사용자의 권한이 상승될 수 있는 구현 문제를 해결하기 위해 MySQL이 버전 5.0.82로 업데이트됩니다. 이 문제는 Mac OS X Server 시스템에만 영향을 줍니다. Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 자세한 내용은 MySQL 웹 사이트에서 찾을 수 있습니다. http://dev.mysql.com/doc/refman/5.0/en/news-5-0-82.html

• PHP

  CVE-ID: CVE-2009-1271, CVE-2009-1272, CVE-2008-5498

  대상: Mac OS X v10.5, Mac OS X Server v10.5.8

  영향: PHP 5.2.8에 여러 가지 취약점이 존재함

  설명: 여러 가지 취약점을 해결하기 위해 PHP가 5.2.10 버전으로 업데이트되었으며, 그 중 가장 심각한 취약점으로 인해 임의 코드가 실행될 수 있었습니다. 자세한 내용은 PHP 웹 사이트(http://www.php.net/)에서 확인할 수 있습니다. Mac OS X v10.6 시스템은 이러한 문제의 영향을 받지 않습니다.

• SMB

  CVE-ID: CVE-2009-2813

  대상: Mac OS X v10.5.8, Mac OS X Server v10.5.8

  영향: Windows 파일 공유를 활성화하면 폴더가 예기치 않게 공유될 수 있음

  설명: Samba에 확인되지 않은 오류 조건이 존재합니다. 홈 디렉토리가 구성되어 있지 않고 Windows 파일 공유 서비스에 연결하는 사용자는 로컬 파일 시스템 권한에 따라 파일 시스템의 콘텐츠에 접근할 수 있습니다. 이 업데이트는 경로 분석 오류 처리를 개선하여 문제를 해결합니다. Mac OS X v10.5 이전 버전이 설치된 시스템 또는 Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제를 보고해 주신 LCG Systems National Institutes of Health의 J. David Hester 님께 감사드립니다.

• Wiki Server

  CVE-ID: CVE-2009-2814

  대상: Mac OS X Server v10.5.8

  영향: 원격 공격자가 Wiki Server 사용자 계정에 접근할 수 있음

  설명: Wiki Server가 UTF-8 인코딩되지 않은 데이터가 포함된 검색 요청을 처리할 때 크로스 사이트 스크립팅 문제가 발생합니다. 그러면 원격 공격자가 검색을 수행하는 Wiki Server 사용자의 자격 증명으로 Wiki Server에 접근할 수 있습니다. 이 업데이트는 HTTP 응답에서 UTF-8을 기본 문자 세트로 설정하여 문제를 해결합니다. Mac OS X v10.5 이전 버전이 설치된 시스템 또는 Mac OS X v10.6 시스템은 이 문제의 영향을 받지 않습니다. 이 문제는 Apple에서 발견했습니다.