macOS High Sierra 10.13.4, 보안 업데이트 2018-002 Sierra 및 보안 업데이트 2018-002 El Capitan의 보안 콘텐츠에 관하여

이 문서에서는 macOS High Sierra 10.13.4, 보안 업데이트 2018-002 Sierra 및 보안 업데이트 2018-002 El Capitan의 보안 콘텐츠에 대해 설명합니다.

Apple 보안 업데이트에 관하여

Apple은 고객 보호를 위해 보안 문제에 관한 조사를 마치고 패치 또는 출시 버전을 제공할 때까지 관련 내용을 공개하거나, 논의하거나, 확인하지 않습니다. 최신 출시 버전은 Apple 보안 업데이트 페이지에 나와 있습니다.

보안에 대한 자세한 내용은 Apple 제품 보안 페이지를 참조하십시오. Apple 제품 보안 PGP 키를 사용하여 Apple과의 통신을 암호화할 수 있습니다.

Apple 보안 문서에서는 가능한 경우 취약점을 CVE-ID로 표시합니다.

macOS High Sierra 10.13.4, 보안 업데이트 2018-002 Sierra 및 보안 업데이트 2018-002 El Capitan

2018년 3월 29일 출시

관리 프레임워크

대상: macOS High Sierra 10.13.3

영향: sysadminctl에 제공된 암호가 다른 로컬 사용자에게 노출될 수 있음

설명: sysadminctl 명령어 라인 도구를 사용하면 인수에서 암호를 이 도구로 전달해야 하므로 암호가 다른 로컬 사용자에게 노출될 가능성이 있었으나 이 업데이트를 통해 암호 매개변수가 선택 사항으로 변경되어 필요한 경우 sysadminctl에 암호를 묻는 메시지가 표시됩니다.

CVE-2018-4170: 익명의 연구원

APFS

대상: macOS High Sierra 10.13.3

영향: APFS 볼륨 암호가 예기치 않게 잘릴 수 있음

설명: 삽입 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2018-4105: David J Beitey(@davidjb_), Geoffrey Bugniot

ATS

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 악의적으로 제작된 파일을 처리하면 사용자 정보가 노출될 수 있음

설명: symlink를 처리할 때 유효성 확인 문제가 발생했으나 이 문제는 symlink에 대한 향상된 유효성 확인을 통해 해결되었습니다.

CVE-2018-4112: Mozilla의 Haik Aftandilian

CFNetwork 세션

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4166: Samuel Groß(@5aelo)

CoreFoundation

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4155: Samuel Groß(@5aelo)

CVE-2018-4158: Samuel Groß(@5aelo)

CoreText

대상: macOS High Sierra 10.13.3

영향: 악의적으로 제작된 문자열을 처리하면 서비스 거부가 발생할 수 있음

설명: 서비스 거부 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4142: Google Switzerland GmbH의 Robin Leroy

CoreTypes

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

영향: 악의적으로 제작된 웹 페이지를 처리하면 디스크 이미지가 마운트될 수 있음

설명: 로직 문제는 향상된 차단을 통해 해결되었습니다.

CVE-2017-13890: Apple, Syndis의 Theodor Ragnar Gislason

curl

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

영향: curl에서 여러 문제가 발생함

설명: curl에서 정수 오버플로우가 발생했으나 이 문제는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2017-8816: Alex Nichols

2018년 3월 30일에 업데이트된 항목

디스크 이미지

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 악의적인 디스크 이미지를 마운트하면 응용 프로그램이 실행될 수 있음

설명: 로직 문제는 향상된 유효성 확인을 통해 해결되었습니다.

CVE-2018-4176: Syndis의 Theodor Ragnar Gislason

디스크 관리

대상: macOS High Sierra 10.13.3

영향: APFS 볼륨 암호가 예기치 않게 잘릴 수 있음

설명: 삽입 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2018-4108: ShiftLeft Inc.의 Kamatham Chaitanya, 익명의 연구원

파일 시스템 이벤트

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4167: Samuel Groß(@5aelo)

iCloud Drive

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4151: Samuel Groß(@5aelo)

Intel 그래픽 드라이버

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4132: Qihoo 360 IceSword Lab의 Axis 및 pjf

IOFireWireFamily

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4135: Alibaba Inc.의 Xiaolong Bai 및 Min(Spark) Zheng

커널

대상: macOS High Sierra 10.13.3

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 향상된 메모리 처리를 통해 여러 가지 메모리 손상 문제가 해결되었습니다.

CVE-2018-4150: 익명의 연구원

커널

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 제한된 메모리를 읽을 수 있음

설명: 유효성 확인 문제는 향상된 입력 삭제를 통해 해결되었습니다.

CVE-2018-4104: 영국의 NCSC(National Cyber Security Centre)

커널

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2018-4143: derrek(@derrekr6)

커널

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2018-4136: lgtm.com의 Jonas Jensen 및 Semmle

커널

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2018-4160: lgtm.com의 Jonas Jensen 및 Semmle

커널

대상: macOS High Sierra 10.13.3

영향: 악성 응용 프로그램이 커널 메모리 레이아웃을 확인할 수 있음

설명: 프로그램 상태 전환 시 정보 공개 문제가 발생했으나 이 문제는 향상된 상태 처리를 통해 해결되었습니다.

CVE-2018-4185: Brandon Azad

2018년 7월 19일에 추가된 항목

kext 도구

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리가 손상되는 로직 문제가 발생했으나 이 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2018-4139: Google Project Zero의 Ian Beer

LaunchServices

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 악의적으로 제작된 응용 프로그램에서 코드 서명 적용이 우회될 수 있음

설명: 로직 문제는 향상된 유효성 확인을 통해 해결되었습니다.

CVE-2018-4175: Syndis의 Theodor Ragnar Gislason

로컬 인증

대상: macOS High Sierra 10.13.3

영향: 로컬 사용자가 중요한 사용자 정보를 볼 수 있음

설명: 스마트카드 PIN을 처리할 때 문제가 발생했으나 추가 로직을 통해 해결되었습니다.

CVE-2018-4179: David Fuhrmann

2018년 4월 13일에 추가된 항목

Mail

대상: macOS High Sierra 10.13.3

영향: 네트워크에서 권한 있는 위치에 있는 공격자가 S/MIME로 암호화된 이메일의 내용을 유출시킬 수 있음

설명: S/MIME HTML 이메일을 처리할 때 문제가 발생했으나 이 문제는 메시지의 S/MIME 서명이 유효하지 않거나 누락된 경우 기본적으로 S/MIME로 암호화된 메시지에 원격 리소스를 로드하지 않음으로써 해결되었습니다.

CVE-2018-4111: Münster University of Applied Sciences의 Damian Poddebniak, Münster University of Applied Sciences의 Christian Dresen, Ruhr University Bochum의 Jens Müller, Münster University of Applied Sciences의 Fabian Ising, Münster University of Applied Sciences의 Sebastian Schinzel, KU Leuven의 Simon Friedberger, Ruhr University Bochum의 Juraj Somorovsky, Ruhr University Bochum의 Jörg Schwenk

2018년 4월 13일에 업데이트된 항목

Mail

대상: macOS High Sierra 10.13.3

영향: 네트워크에서 권한 있는 위치에 있는 공격자가 S/MIME로 암호화된 이메일의 내용을 가로챌 수 있음

설명: 일관되지 않은 사용자 인터페이스 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2018-4174: Integrated Mapping Ltd의 John McCombs, LoonSoft Inc.의 McClain Looney

2018년 4월 13일에 업데이트된 항목

참고

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4152: Samuel Groß(@5aelo)

NSURLSession

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4166: Samuel Groß(@5aelo)

NVIDIA Graphics Drivers

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 제한된 메모리를 읽을 수 있음

설명: 유효성 확인 문제는 향상된 입력 삭제를 통해 해결되었습니다.

CVE-2018-4138: Qihoo 360 IceSword Lab의 Axis 및 pjf

PDFKit

대상: macOS High Sierra 10.13.3

영향: PDF의 URL을 클릭하면 악의적인 웹 사이트에 방문할 수 있음

설명: PDF의 URL을 구문 분석할 때 문제가 발생했으나 이 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2018-4107: Innovia Technology의 Nick Safford

2018년 4월 9일에 업데이트된 항목

PluginKit

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4156: Samuel Groß(@5aelo)

훑어보기

대상: macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4157: Samuel Groß(@5aelo)

원격 관리

대상: macOS High Sierra 10.13.3

영향: 원격 사용자가 루트 권한을 얻을 수 있음

설명: 원격 관리에서 권한 문제가 발생했으나 이 문제는 향상된 권한 유효성 확인을 통해 해결되었습니다.

CVE-2018-4298: SupCloud의 Tim van der Werff

2018년 7월 19일에 추가된 항목

보안

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 악성 응용 프로그램이 권한을 높일 수 있음

설명: 버퍼 오버플로우는 향상된 크기 유효성 확인을 통해 해결되었습니다.

CVE-2018-4144: Abraham Masri(@cheesecakeufo)

SIP

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 구성 문제가 추가 제한 사항을 통해 해결되었습니다.

CVE-2017-13911: 익명의 연구원

2018년 8월 8일에 추가된 항목

상태 막대

대상: macOS High Sierra 10.13.3

영향: 악성 응용 프로그램이 사용자에게 아무 표시 없이 마이크에 접근할 수 있음

설명: 마이크 사용 표시기를 표시할 시점을 결정하는 데 일관성 문제가 있었으나 향상된 기능 유효성 확인을 통해 해결되었습니다.

CVE-2018-4173: pingmd의 Joshua Pokotilow

2018년 4월 9일에 추가된 항목

저장 공간

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 응용 프로그램이 상승된 권한을 얻을 수 있음

설명: 경합 상태는 추가 유효성 확인을 통해 해결되었습니다.

CVE-2018-4154: Samuel Groß(@5aelo)

시스템 환경설정

대상: macOS High Sierra 10.13.3

영향: 구성 프로파일이 제거된 후에도 적용된 상태로 잘못 남아 있을 수 있음

설명: CFPreferences에서 문제가 발생했으나 이 문제는 향상된 환경설정 정리를 통해 해결되었습니다.

CVE-2018-4115: Johann Thalakada, Vladimir Zubkov 및 Wandera의 Matt Vlasach

터미널

대상: OS X El Capitan 10.11.6, macOS Sierra 10.12.6, macOS High Sierra 10.13.3

영향: 악의적인 콘텐츠를 붙여 넣으면 임의 명령 실행이 스푸핑될 수 있음

설명: Bracketed Paste Mode를 처리할 때 명령 삽입 문제가 발생했으나 이 문제는 향상된 특수 문자 유효성 확인을 통해 해결되었습니다.

CVE-2018-4106: Simon Hosie

WindowServer

대상: macOS High Sierra 10.13.3

영향: 보안 입력 모드가 활성화된 경우에도 권한 없는 응용 프로그램이 다른 응용 프로그램에 입력된 키 입력을 로깅할 수 있음

설명: 보안 입력 모드가 활성화된 경우에도 권한 없는 응용 프로그램이 키 상태를 스캔하여 다른 응용 프로그램에 입력된 키 입력을 로깅할 수 있었으나 이 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2018-4131: folivora.AI GmbH의 Andreas Hegenberg

감사의 말

Mail

도움을 주신 Wire Swiss GmbH의 Sabri Haddouche(@pwnsdx) 님께 감사드립니다.

2018년 6월 21일에 추가된 항목

보안

도움을 주신 Abraham Masri(@cheesecakeufo) 님께 감사드립니다.

2018년 4월 13일에 추가된 항목

Apple이 제조하지 않은 제품에 관한 정보 또는 Apple의 관리 또는 테스트 대상이 아닌 독립적인 웹 사이트는 권장 또는 보증 없이 제공되는 것입니다. Apple은 타사 웹 사이트 또는 제품에 대한 선택, 성능, 사용과 관련하여 발생하는 결과에 대해 책임을 지지 않습니다. Apple은 타사 웹 사이트의 정확성 또는 신뢰도에 대해 어떠한 언급도 하지 않습니다. 인터넷을 사용하는 데는 위험이 따르기 마련입니다. 자세한 내용은 공급업체에 문의하십시오. 기타 회사 및 제품 이름은 각 소유자의 상표일 수 있습니다.

게시일: