macOS Sierra 10.12의 보안 콘텐츠에 관하여

이 문서에서는 macOS Sierra 10.12의 보안 콘텐츠에 대해 설명합니다.

Apple 보안 업데이트에 관하여

Apple은 고객 보호를 위해 완벽한 조사를 마치고 패치 또는 출시 버전을 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. 최신 출시 버전은 Apple 보안 업데이트 페이지에 나와 있습니다.

보안에 대한 자세한 내용은 Apple 제품 보안 페이지를 참조하십시오. Apple 제품 보안 PGP 키를 사용하여 Apple과의 통신을 암호화할 수 있습니다.

Apple 보안 문서는 가능한 경우 CVE-ID의 취약점을 참조합니다.

macOS Sierra 10.12

Apache

대상: OS X Lion v10.7.5 및 이후 버전

영향: 원격 공격자가 임의 서버를 통해 트래픽에 프록시를 사용할 수 있음

설명: HTTP_PROXY 환경 변수를 처리할 때 문제가 발생합니다. 이 문제는 CGI에서 HTTP_PROXY 환경 변수를 설정하지 않도록 하여 해결되었습니다.

CVE-2016-4694: Vend의 Dominic Scheirlinck 및 Scott Geary

apache_mod_php

대상: OS X Lion v10.7.5 및 이후 버전

영향: PHP에서 여러 문제가 발생하며, 이 중 가장 심각한 문제로 인해 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

설명: PHP의 여러 문제는 PHP를 버전 5.6.24로 업데이트하여 해결되었습니다.

CVE-2016-5768

CVE-2016-5769

CVE-2016-5770

CVE-2016-5771

CVE-2016-5772

CVE-2016-5773

CVE-2016-6174

CVE-2016-6288

CVE-2016-6289

CVE-2016-6290

CVE-2016-6291

CVE-2016-6292

CVE-2016-6294

CVE-2016-6295

CVE-2016-6296

CVE-2016-6297

Apple HSSPI 지원

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4697: Trend Micro의 Zero Day Initiative와 협력하는 KeenLab의 Qidan He(@flanker_hqd)

AppleEFIRuntime

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: Null 포인터 역참조가 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4696: Qihoo 360 Nirvan 팀의 Shrek_wzw

AppleMobileFileIntegrity

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 작업 포트 상속 정책에서 확인 문제가 발생합니다. 이 문제는 처리 자격 및 팀 ID에 대한 확인 개선을 통해 해결되었습니다.

CVE-2016-4698: Pedro Vilaça

AppleUUC

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 여러 가지 메모리 손상 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4699: Trend Micro의 Zero Day Initiative와 협력하는 Trend Micro의 Jack Tang(@jacktang310) 및 Moony Li

CVE-2016-4700: Trend Micro의 Zero Day Initiative와 협력하는 Trend Micro의 Jack Tang(@jacktang310) 및 Moony Li

응용 프로그램 방화벽

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 서비스 거부 공격을 일으킬 수 있음

설명: 방화벽 프롬프트를 처리할 때 확인 문제가 발생합니다. 이 문제는 SO_EXECPATH 확인 개선을 통해 해결되었습니다.

CVE-2016-4701: Google Security Team의 Meder Kydyraliev

ATS

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 서체 파일을 처리하면 임의 코드가 실행될 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4779: Tencent Security Platform 부서의 riusksk

오디오

대상: OS X Lion v10.7.5 및 이후 버전

영향: 원격 공격자가 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4702: 연세대학교 정보 보안 연구실의 윤영진, 신민식, 한호재, 박성현, 권태영.

Bluetooth

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4703: Trend Micro의 Juwei Lin(@fuzzerDOTcn)

cd9660

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 시스템 서비스 거부 공격을 일으킬 수 있음

설명: 입력 확인 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4706: BSI를 대표하는 Recurity Labs(German Federal Office for Information Security)

CFNetwork

대상: OS X Lion v10.7.5 및 이후 버전

영향: 사용자가 방문한 웹 사이트를 로컬 사용자가 검색할 수 있음

설명: 로컬 저장 공간을 삭제할 때 문제가 발생합니다. 이 문제는 로컬 저장 공간 정리 개선을 통해 해결되었습니다.

CVE-2016-4707: 익명의 연구원

CFNetwork

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 사용자 정보가 손상될 수 있음

설명: set-cookie 헤더에 대한 구문 분석 중에 입력 확인 문제가 발생했습니다. 이 문제는 확인 검사 개선을 통해 해결되었습니다.

CVE-2016-4708: Silesia Security Lab의 Dawid Czagan

CommonCrypto

대상: OS X Lion v10.7.5 및 이후 버전

영향: CCrypt를 사용하는 응용 프로그램의 입력 및 출력 버퍼가 동일할 경우 해당 응용 프로그램에서 중요한 일반 텍스트를 공개할 수 있음

설명: corecrypto에서 입력 확인 문제가 발생합니다. 이 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4711: Max Lohrmann

CoreCrypto

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 임의 코드를 실행할 수 있음

설명: 경계 외부 쓰기 문제는 취약 코드 제거를 통해 해결되었습니다.

CVE-2016-4712: Gergo Koteles

CoreDisplay

대상: OS X Lion v10.7.5 및 이후 버전

영향: 화면 공유 접근 권한을 가진 사용자가 다른 사용자의 화면을 볼 수 있음

설명: 화면 공유 세션을 처리할 때 세션 관리 문제가 발생합니다. 이 문제는 세션 추적 개선을 통해 해결되었습니다.

CVE-2016-4713: Ruggero Alberti

curl

대상: OS X Lion v10.7.5 및 이후 버전

영향: curl에서 여러 문제가 발생함

설명: curl 7.49.1 이전 버전에서 여러 가지 보안 문제가 발생하며 이러한 문제는 curl을 7.49.1 버전으로 업데이트하여 해결되었습니다.

CVE-2016-0755: Isaac Boukris

날짜 및 시간 환경설정 패널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적인 응용 프로그램에서 사용자의 현재 위치를 확인할 수 있음

설명: .GlobalPreferences 파일을 처리할 때 문제가 발생합니다. 이 문제는 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4715: ESIEA(파리)의 Taiki(@Taiki__San)

DiskArbitration

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: diskutil에서 접근 문제가 발생합니다. 이 문제는 권한 검사 개선을 통해 해결되었습니다.

CVE-2016-4716: North Carolina School of Science and Mathematics의 Alexander Allen

파일 책갈피

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 응용 프로그램이 서비스 거부 공격을 일으킬 수 있음

설명: 범위가 지정된 책갈피를 처리할 때 리소스 관리 문제가 발생합니다. 이 문제는 파일 설명자 처리 개선을 통해 해결되었습니다.

CVE-2016-4717: 71Squared Ltd의 Tom Bradley

FontParser

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 서체를 처리하면 프로세스 메모리가 공개될 수 있음

설명: 서체 파일을 처리할 때 버퍼 오버플로우가 발생합니다. 이 문제는 범위 검사 개선을 통해 해결되었습니다.

CVE-2016-4718: Apple

IDS - 연결

대상: OS X Lion v10.7.5 및 이후 버전

영향: 권한 있는 네트워크 위치에 있는 공격자가 서비스 거부를 일으킬 수 있음

설명: 통화 릴레이를 처리할 때 스푸핑 문제가 발생합니다. 이 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4722: salesforce.com의 Martin Vigo(@martin_vigo)

ImageIO

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 이미지를 처리하면 프로세스 메모리가 공개될 수 있음

설명: SGI 이미지를 구문 분석할 때 경계 외부 읽기 문제가 발생합니다. 이 문제는 범위 검사 개선을 통해 해결되었습니다.

CVE-2016-4682: Tencent Xuanwu Lab의 Ke Liu

Intel 그래픽 드라이버

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 여러 가지 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4723: Minionz의 daybreaker

Intel 그래픽 드라이버

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: use-after-free 문제는 메모리 관리 개선을 통해 해결되었습니다.

CVE-2016-7582: Tencent KeenLab의 Liang Chen

IOAcceleratorFamily

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: Null 포인터 역참조가 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4724: OverSky 팀의 Cererdlong, Eakerqiu

IOAcceleratorFamily

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 프로세스 메모리가 공개될 수 있음

설명: 메모리 손상 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4725: Plex, Inc.의 Rodger Combs

IOAcceleratorFamily

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4726: 익명의 연구원

IOThunderboltFamily

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4727: Trend Micros Zero Day Initiative와 협력하는 wmin

Kerberos v5 PAM 모듈

대상: OS X Lion v10.7.5 및 이후 버전

영향: 원격 공격자가 사용자 계정이 있는지 확인할 수 있음

설명: 타이밍 부채널을 통해 공격자가 시스템에서 사용자 계정이 있는지 확인할 수 있습니다. 이 문제는 상수 시간 확인을 도입하여 해결되었습니다.

CVE-2016-4745: 익명의 연구원

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 응용 프로그램이 제한된 파일에 접근할 수 있음

설명: 디렉토리 경로를 처리할 때 발생하는 구문 분석 문제는 경로 확인 개선을 통해 해결되었습니다.

CVE-2016-4771: MRG Effitas 연구실장 Balazs Bucsay

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 원격 공격자가 서비스 거부 공격을 일으킬 수 있음

설명: 잠금 처리 문제는 잠금 처리 개선을 통해 해결되었습니다.

CVE-2016-4772: mh-sec의 Marc Heuse

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램에서 커널 메모리 레이아웃을 확인할 수 있음

설명: 커널 메모리가 공개되는 범위를 벗어난 여러 읽기 문제가 발생합니다. 이러한 문제는 입력 유효성 확인 개선을 통해 해결되었습니다.

CVE-2016-4773: Brandon Azad

CVE-2016-4774: Brandon Azad

CVE-2016-4776: Brandon Azad

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4775: Brandon Azad

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 신뢰할 수 없는 포인터 역참조는 해당 코드를 제거하여 해결되었습니다.

CVE-2016-4777: Qihoo 360 Vulcan 팀의 Lufeng Li

커널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 여러 가지 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4778: CESG

libarchive

대상: OS X Lion v10.7.5 및 이후 버전

영향: libarchive에서 여러 문제가 발생함

설명: libarchive에서 여러 가지 메모리 손상 문제가 발생합니다. 이러한 문제는 입력 확인 개선을 통해 해결되었습니다.

CVE-2016-4736: Qihoo 360 Nirvan 팀의 Proteas

libxml2

대상: OS X Lion v10.7.5 및 이후 버전

영향: libxml2에서 여러 문제가 발생하며, 이 중 가장 심각한 문제로 인해 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

설명: 여러 가지 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4658: Nick Wellnhofer

CVE-2016-5131: Nick Wellnhofer

libxpc

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 샌드 박스의 범위를 벗어날 수 있음

설명: 'launchctl'을 사용하여 새로운 절차를 생성할 때 여러 가지 취약점이 발생합니다. 이러한 문제는 정책 적용 개선을 통해 해결되었습니다.

CVE-2016-4617: BSI를 대표하는 Recurity Labs(German Federal Office for Information Security)의 Gregor Kopf

libxslt

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적으로 제작된 웹 콘텐츠를 처리하면 임의 코드가 실행될 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4738: Nick Wellnhofer

Mail

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악성 웹 사이트에서 서비스 거부를 일으킬 수 있음

설명: 서비스 거부 문제는 URL 처리 개선을 통해 해결되었습니다.

CVE-2016-7580: Sabri Haddouche(@pwnsdx)

mDNSResponder

대상: OS X Lion v10.7.5 및 이후 버전

영향: 원격 공격자가 중요한 정보를 볼 수 있음

설명: VMnet.framework를 사용하는 응용 프로그램에서 모든 네트워크 인터페이스에 대해 DNS 프록시 수신 대기를 활성화합니다. 이 문제는 DNS 질의응답을 로컬 인터페이스로 제한하여 해결되었습니다.

CVE-2016-4739: Docker, Inc.의 Magnus Skjegstad, David Scott 및 Anil Madhavapeddy

NSSecureTextField

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악의적인 응용 프로그램이 사용자의 자격 증명을 유출할 수 있음

설명: NSSecureTextField에서 보안 입력을 활성화하지 못하는 상태 관리 문제가 발생합니다. 이 문제는 윈도우 관리 개선을 통해 해결되었습니다.

CVE-2016-4742: AgileBits의 Rick Fillion, Red Sweater Software의 Daniel Jalkut

Perl

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 오점 보호 메커니즘을 건너뛸 수 있음

설명: 환경 변수를 분석할 때 문제가 발생합니다. 이 문제는 환경 변수 확인 개선을 통해 해결되었습니다.

CVE-2016-4748: Stephane Chazelas

S2 카메라

대상: OS X Lion v10.7.5 및 이후 버전

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4750: Trend Micro의 Zero Day Initiative와 협력하는 Trend Micro의 Jack Tang(@jacktang310) 및 Moony Li

보안

대상: OS X Lion v10.7.5 및 이후 버전

영향: SecKeyDeriveFromPassword를 사용하는 응용 프로그램으로 인해 메모리가 유출될 수 있음

설명: 키 파생을 처리할 때 리소스 관리 문제가 발생합니다. 이 문제는 CF_RETURNS_RETAINED를 SecKeyDeriveFromPassword에 추가하여 해결되었습니다.

CVE-2016-4752: PowerMapper Software의 Mark Rogers

보안

대상: OS X Lion v10.7.5 및 이후 버전

영향: 악성 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 서명된 디스크 이미지에서 확인 문제가 발생합니다. 이 문제는 크기 확인 개선을 통해 해결되었습니다.

CVE-2016-4753: Google Inc.의 Mark Mentovai

터미널

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 중요한 사용자 정보를 유출할 수 있음

설명: .bash_history 및 .bash_session에서 권한 문제가 발생합니다. 이 문제는 접근 제한 개선을 통해 해결되었습니다.

CVE-2016-4755: Axel Luttgens

WindowServer

대상: OS X Lion v10.7.5 및 이후 버전

영향: 로컬 사용자가 루트 권한을 얻을 수 있음

설명: 유형 혼란 문제는 메모리 처리 개선을 통해 해결되었습니다.

CVE-2016-4709: Trend Micro의 Zero Day Initiative와 협력하는 익명의 연구원

CVE-2016-4710: Trend Micro의 Zero Day Initiative와 협력하는 익명의 연구원