macOS Catalina 10.15.3의 보안 콘텐츠, 보안 업데이트 2020-001 Mojave 및 보안 업데이트 2020-001 High Sierra에 관하여

이 문서에서는 macOS Catalina 10.15.3의 보안 콘텐츠, 보안 업데이트 2020-001 Mojave 및 보안 업데이트 2020-001 High Sierra에 대해 설명합니다.

Apple 보안 업데이트에 관하여

Apple은 고객 보호를 위해 조사를 마치고 패치 또는 출시 버전을 제공할 수 있을 때까지는 보안 문제를 공개하거나, 논의하거나, 확인해 주지 않습니다. 최신 출시 버전은 Apple 보안 업데이트 페이지에 나와 있습니다.

Apple 보안 문서에서는 가능한 경우 취약점을 CVE-ID로 표시합니다.

보안에 대한 자세한 내용은 Apple 제품 보안 페이지를 참조하십시오.

macOS Catalina 10.15.3, 보안 업데이트 2020-001 Mojave, 보안 업데이트 2020-001 High Sierra

AnnotationKit

대상: macOS Catalina 10.15.2

영향: 원격 공격자가 응용 프로그램을 예기치 않게 종료하거나 임의 코드를 실행할 수 있음

설명: 범위를 벗어난 읽기는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3877: Trend Micro의 Zero Day Initiative에 참여 중인 익명의 연구원

apache_mod_php

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: PHP에서 여러 문제가 발생함

설명: PHP 7.3.11 버전으로 업데이트하여 여러 문제가 해결되었습니다.

CVE-2019-11043

오디오

대상: macOS Catalina 10.15.2

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3857: Qihoo 360 Vulcan Team의 Zhuo Liang

autofs

대상: macOS Catalina 10.15.2

영향: 공격자가 제어하는 NFS 마운트에서 파일을 검색하고 열면 Gatekeeper를 우회할 수 있음

설명: 이 문제는 네트워크 공유를 통해 마운트된 파일을 Gatekeeper에서 추가로 검사하는 방식으로 해결되었습니다.

CVE-2020-3866: Jose Castro Almeida(@HackerOn2Wheels) 및 René Kroka(@rene_kroka)

CoreBluetooth

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 원격 공격자가 응용 프로그램을 예기치 않게 종료하거나 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3848: Qihoo 360 Alpha Lab의 Jianjun Dai

CVE-2020-3849: Qihoo 360 Alpha Lab의 Jianjun Dai

CVE-2020-3850: Qihoo 360 Alpha Lab의 Jianjun Dai

CoreBluetooth

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 원격 공격자가 메모리를 유출할 수 있음

설명: 범위를 벗어난 읽기는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3847: Qihoo 360 Alpha Lab의 Jianjun Dai

충돌 리포터

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 악성 응용 프로그램이 제한된 파일에 접근할 수 있음

설명: symlink를 처리할 때 유효성 확인 문제가 발생했으나 이 문제는 symlink에 대한 향상된 유효성 확인을 통해 해결되었습니다.

CVE-2020-3835: Csaba Fitzl(@theevilbit)

crontab

대상: macOS Catalina 10.15.2

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3863: James Hutchins

앱에서 찾음

대상: macOS Catalina 10.15.2

영향: 암호화된 데이터에 부적절하게 접근할 수 있음

설명: Siri 제안에서 암호화된 데이터에 접근할 때 문제가 발생했으나 이 문제는 암호화된 데이터에 대한 접근을 제한하여 해결되었습니다.

CVE-2020-9774: National Institute of Standards and Technology의 Bob Gendler

이미지 처리

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 악의적으로 제작된 JPEG 파일을 보면 임의 코드가 실행될 수 있음

설명: 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3827: Google Project Zero의 Samuel Groß

ImageIO

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 악의적으로 제작된 이미지를 처리하면 임의 코드가 실행될 수 있음

설명: 범위를 벗어난 읽기는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3826: Google Project Zero의 Samuel Groß

CVE-2020-3870

CVE-2020-3878: Google Project Zero의 Samuel Groß

CVE-2020-3880: Google Project Zero의 Samuel Groß

Intel 그래픽 드라이버

대상: macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3845: Qihoo 360 Vulcan Team의 Zhuo Liang

IOAcceleratorFamily

대상: macOS Catalina 10.15.2

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3837: Google Project Zero의 Brandon Azad

IOThunderboltFamily

대상: macOS Catalina 10.15.2

영향: 응용 프로그램의 권한이 상승될 수 있음

설명: use-after-free 문제는 향상된 메모리 관리를 통해 해결되었습니다.

CVE-2020-3851: Alibaba Inc.의 Xiaolong Bai와 Min(Spark) Zheng, Indiana University Bloomington의 Luyi Xing

IPSec

대상: macOS Catalina 10.15.2

영향: 악의적으로 제작된 racoon 구성 파일을 로드하면 임의 코드가 실행될 수 있음

설명: racoon 구성 파일을 처리할 때 off-by-one 문제가 발생했으나 이 문제는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2020-3840: @littlelailo

커널

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 응용 프로그램이 제한된 메모리를 읽을 수 있음

설명: 유효성 확인 문제는 향상된 입력 삭제를 통해 해결되었습니다.

CVE-2020-3875: Google Project Zero의 Brandon Azad

커널

대상: macOS Catalina 10.15.2

영향: 응용 프로그램이 제한된 메모리를 읽을 수 있음

설명: 메모리 초기화 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3872: Cognite의 Haakon Garseg Mørk 및 Cognite의 Cim Stordal

커널

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 악성 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 유형 혼동 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3853: Google Project Zero의 Brandon Azad

커널

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 악성 응용 프로그램이 커널 메모리 레이아웃을 확인할 수 있음

설명: 접근 문제는 향상된 메모리 관리를 통해 해결되었습니다.

CVE-2020-3836: Google Project Zero의 Brandon Azad

커널

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2020-3842: Google Project Zero에 참여 중인 Ned Williamson

CVE-2020-3871: Corellium

libxml2

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 악의적으로 제작된 XML을 처리할 때 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

설명: 버퍼 오버플로우는 향상된 크기 유효성 확인을 통해 해결되었습니다.

CVE-2020-3846: Ranier Vilela

libxpc

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 악의적으로 제작된 문자열을 처리하면 힙 손상이 발생할 수 있음

설명: 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3856: Google Project Zero의 Ian Beer

libxpc

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 응용 프로그램의 권한이 상승될 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2020-3829: Google Project Zero의 Ian Beer

PackageKit

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 악성 응용 프로그램이 임의 파일을 덮어쓸 수 있음

설명: symlink를 처리할 때 유효성 확인 문제가 발생했으나 이 문제는 symlink에 대한 향상된 유효성 확인을 통해 해결되었습니다.

CVE-2020-3830: Csaba Fitzl(@theevilbit)

보안

대상: macOS Catalina 10.15.2

영향: 악성 응용 프로그램이 샌드 박스의 범위를 벗어날 수 있음

설명: 로직 문제는 향상된 제한 조치를 통해 해결되었습니다.

CVE-2020-3854: University of Hamburg의 Security in Distributed Systems Group 소속 Jakob Rieck(@0xdead10cc) 및 Maximilian Blochberger

sudo

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 특정 구성으로 인해 로컬 공격자가 임의 코드를 실행할 수 있음

설명: 버퍼 오버플로우 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2019-18634: Apple

시스템

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6

영향: 악성 응용 프로그램이 임의 파일을 덮어쓸 수 있음

설명: 접근 문제는 향상된 접근 제한을 통해 해결되었습니다.

CVE-2020-3855: Csaba Fitzl(@theevilbit)

Wi-Fi

대상: macOS Catalina 10.15.2

영향: 응용 프로그램이 제한된 메모리를 읽을 수 있음

설명: 유효성 확인 문제는 향상된 입력 삭제를 통해 해결되었습니다.

CVE-2020-3839: Trend Micro의 Zero Day Initiative에 참여 중인 Theori의 s0ngsari 및 서울대학교의 Lee

Wi-Fi

대상: macOS Mojave 10.14.6, macOS High Sierra 10.13.6, macOS Catalina 10.15.2

영향: 원격 공격자가 예기치 않은 시스템 종료를 일으키거나 커널 메모리를 손상시킬 수 있음

설명: 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2020-3843: Google Project Zero의 Ian Beer

wifivelocityd

대상: macOS High Sierra 10.13.6, macOS Mojave 10.14.6, macOS Catalina 10.15.2

영향: 응용 프로그램이 시스템 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 이 문제는 향상된 권한 로직을 통해 해결되었습니다.

CVE-2020-3838: Dayton Pidhirney(@_watbulb)

감사의 말

사진 저장 공간

도움을 주신 UC Berkeley의 Allison Husain 님께 감사드립니다.

SharedFileList

도움을 주신 Jamf의 Patrick Wardle 님께 감사드립니다.