.jpg)
.jpg)
Adobe Flash Player, 포토샵 CC, 아크로뱃, DNG 컨버터 등에서 취약점 발견
실제 침해사고에 취약점 악용된 사례 있어...각별한 주의 필요
[보안뉴스 김경애 기자] 어도비(Adobe)사는 Adobe Flash Player에 영향을 미치는 Type Confusion 취약점을 해결한 보안 업데이트를 발표했다. 특히, 이번에 발견된 취약점은 실제 침해사고에 악용된 바 있어 필히 업데이트를 적용하는 것이 바람직하다.
해당 취약점은 공격자가 취약점을 악용하여 악성코드 감염 등의 피해를 발생시킬 수 있다. 이와 관련 한국인터넷진흥원 측은 “해당 취약점은 실제 침해사고에 악용된 사례가 있어 이용자들의 각별한 주의와 적극적인 대처가 필요하다”고 당부했다.
이번에 발견된 취약점은 △Adobe Flash Player △Adobe Photoshop CC △Adobe Connect △Adobe Acrobat and Reader △Adobe DNG Converter △Adobe InDesign △Adobe Digital Editions △Adobe Shockwave Player △Adobe Experience Manager에서 발생하는 취약점이다.
먼저 Adobe Flash Player에서 발생하는 취약점은 △원격코드 실행으로 이어질 수 있는 Out-of-Bounds Read 취약점(CVE-2017-3112, CVE-2017-3114, CVE-2017-11213) △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11215, CVE-2017-11225) 등 5개 취약점이다.
이어 Adobe Photoshop CC에서 발생하는 취약점은 △원격코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11303)과 △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11304) 2개이다.
Adobe Connect에서 발생하는 취약점은 △네트워크 접근 제어 우회를 가능하게 하는 Server-Side Request Forgery(SSRF) 취약점(CVE-2017-11291) △정보 노출로 이어질 수 있는 Reflected Cross-site Scripting 취약점(CVE-2017-11287, CVE-2017-11288, CVE-2017-11289) △정보 노출로 이어질 수 있는 클릭재킹 취약점(CVE-2017-11290) 등 5개다.
Adobe Acrobat and Reader에서 발생하는 취약점은 무려 62개로 △원격코드 실행으로 이어질 수 있는 초기화되지 않은 포인터에 접근하여 발생하는 취약점(CVE-2017-16377, CVE-2017-16378) △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-16360, CVE-2017-16388, CVE-2017-16389, CVE-2017-16390, CVE-2017-16393, CVE-2017-16398) △잘못된 길이 값으로 버퍼에 접근해 발생하는 원격코드 실행 취약점(CVE-2017-16381, CVE-2017-16385, CVE-2017-16392, CVE-2017-16395, CVE-2017-16396)
△원격코드 실행으로 이어질 수 있는 버퍼 오버리드(over-read) 취약점(CVE-2017-16363, CVE-2017-16365, CVE-2017-16374, CVE-2017-16384, CVE-2017-16386, CVE-2017-16387) △원격코드 실행으로 이어질 수 있는 버퍼 오버플로우/언더플로우 취약점(CVE-2017-16368) △원격코드 실행으로 이어질 수 있는 힙 오버플로우 취약점(CVE-2016-16383)
△배열의 인덱스 값에 대한 검증 미흡으로 발생하는 원격코드 실행 취약점(CVE-2017-16391, CVE-2017-16410) △원격코드 실행으로 이어질 수 있는 Out-of-bounds 쓰기 취약점(CVE-2017-16407, CVE-2017-16413, CVE-2017-16415, CVE-2017-16416) △Drive-by-download로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16361, CVE-2017-16366)
△정보 노출로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16369) △원격코드 실행으로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16380) △자원 과소비로 이어질 수 있는 Stack Exhaustion 취약점(CVE-2017-16419)이다.
△원격코드 실행으로 이어질 수 있는 Type Confusion 취약점(CVE-2017-16367, CVE-2017-16479, CVE-2017-16406) △원격코드 실행으로 이어질 수 있는 Untrusted Pointer Dereference 취약점(CVE-2017-16364, CVE-2017-16371, CVE-2017-16372, CVE-2017-16373, CVE-2017-16375, CVE-2017-16411)이다.
Adobe DNG Converter에서 발생하는 취약점은 메모리 손상 취약점(CVE-2017-11295)이다.
Adobe InDesign에서 발생하는 취약점[6]은 원격코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11302)이다.
Adobe Digital Editions에서 발생하는 취약점[7]은 △정보 노출로 이어질 수 있는 안전하지 않은 XXE 파싱 취약점(CVE-2017-11273) △메모리 주소 유출로 이어질 수 있는 Out-of-bounds 읽기 취약점(CVE-2017-11297, CVE-2017-11298, CVE-2017-11299, CVE-2017-11300) △메모리 주소 유출로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11301) 취약점 총 6개다.
Adobe Shockwave Player에서 발생하는 취약점[8]은 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11294)이다.
Adobe Experience Manager에서 발생하는 취약점[9]은 △정보 노출로 이어질 수 있는 Reflected Cross-Site-Scripting 취약점(CVE-2017-3109) △HTTP GET 요청 내 민감한 토큰 정보가 유출되어 발생하는 정보 유출 취약점(CVE-2017-3111) △정보 노출로 이어질 수 있는 Cross-Site-Scripting 취약점(CVE-2017-11296) 등 3개다.
따라서 Adobe Flash Player 사용자는 윈도우즈, 맥, 리눅스 환경의 Adobe Flash Player Desktop Runtime 사용자는 27.0.0.187 버전으로 업데이트 적용해야 한다.
Adobe Flash Player Download Center(https://get.adobe.com/flashplayer/)에 방문해 최신 버전을 설치하거나 자동 업데이트를 이용해 업그레이드해야 한다. Adobe Flash Player가 설치된 구글 크롬은 자동으로 최신 업데이트 버전을 적용해야 한다. 또한, Windows 10 및 Windows 8.1에서 Microsoft Edge, Internet Explorer 11에 Adobe Flash Player를 설치한 사용자는 자동으로 최신 업데이트가 적용되도록 하면 한다.
윈도우즈, 맥 환경의 Adobe Photoshop CC 사용자는 Adobe Photoshop CC 2018 19.0(2018.0) 버전 또는 Adobe Photoshop CC 2017 18.1.2(2017.1.2) 버전으로 업데이트를 적용해야 한다.
윈도우즈 환경의 Adobe Connect 사용자는 9.7 버전으로 업데이트를 적용해야 한다. https://helpx.adobe.com/adobe-connect/release-note/adobe-connect-9-7-release-notes.html 사이트를 참고하면 된다.
Windows, Mac 환경의 Adobe Acrobat and Reader 사용자는 해당하는 소프트웨어에 따라 최신 버전으로 업데이트를 적용해야 한다. Adobe Acrobat Reader Download Center(https://get.adobe.com/kr/reader/)에 방문해 최신 버전을 설치하거나 자동 업데이트를 이용해 업그레이드를 적용해야 한다.
윈도우즈 환경의 Adobe DNG Converter 사용자는 10.0버전으로 업데이트 적용을 해야 한다. http://supportdownloads.adobe.com/detail.jsp?ftpID=6220 사이트를 참고하면 된다.
윈도우즈, 맥 환경의 Adobe InDesing 사용자는 13.0버전으로 업데이트를 적용해야 한다. https://helpx.adobe.com/indesign/release-note/indesign-cc-2018.html 사이트를 참고하면 된다.
윈도우즈, 맥, iOS, 안드로이드 환경의 Adobe Digital Editions 사용자는 4.5.7 버전으로 업데이트를 적용해야 한다.
-윈도우즈, 맥 다운로드 : https://www.adocbe.com/solutions/ebook/digital-
editions/download.html
-iOS 다운로드 : https://itunes.apple.com/us/app/adobe-digital-editions/id952977781?mt=8
-안드로이드 다운로드 : https://play.google.com/store/apps/details?
id=com.adobe.digitaleditions
윈도우즈 환경의 Adobe Shockwave 사용자는 12.3.1.201 버전으로 업데이트를 적용해야 한다(다운로드 : https://get.adobe.com/shockwave/).
Adobe Experience Manager 사용자는 아래 링크를 참고해 업데이트를 적용해야 한다.
Adobe Experience Manager 6.3 버전 : https://helpx.adobe.com/experience-
manager/kb/aem63-available-hotfixes.html
Adobe Experience Manager 6.2 버전 : https://helpx.adobe.com/experience-
manager/kb/aem62-available-hotfixes.html
Adobe Experience Manager 6.1 버전 : https://helpx.adobe.com/experience-
manager/kb/aem61-available-hotfixes.html
Adobe Experience Manager 6.0 버전 : https://helpx.adobe.com/experience-
manager/kb/aem60-available-hotfixes.html
Type Confusion 취약점: 객체의 인스턴스가 타입을 혼동하여 나는 오류
Use-After-Free 취약점: 소프트웨어 구현 시 동적 혹은 정적으로 할당된 메모리를 해제했음에도 불구하고 이를 계속 참조(사용)해 발생하는 취약점
XXE(XML External Entity): XML 문서에서 동적으로 외부 URI의 리소스를 포함시킬 수 있는 외부 엔티티를 사용하는 것
좀 더 자세한 사항은 한국인터넷진흥원 인터넷침해대응센터(국번없이 118)에 문의하면 된다.
[참고사이트]
[1] https://helpx.adobe.com/security/products/flash-player/apsb17-33.html
[2] https://helpx.adobe.com/security/products/photoshop/apsb17-34.html
[3] https://helpx.adobe.com/security/products/connect/apsb17-35.html
[4] https://helpx.adobe.com/security/products/acrobat/apsb17-36.html
[5] https://helpx.adobe.com/security/products/dng-converter/apsb17-37.html
[6] https://helpx.adobe.com/security/products/indesign/apsb17-38.html
[7] https://helpx.adobe.com/security/products/Digital-Editions/apsb17-39.html
[8] https://helpx.adobe.com/security/products/shockwave/apsb17-40.html
[9] https://helpx.adobe.com/security/products/experience-manager/apsb17-41.html
[김경애 기자(boan3@boannews.com)]
실제 침해사고에 취약점 악용된 사례 있어...각별한 주의 필요
[보안뉴스 김경애 기자] 어도비(Adobe)사는 Adobe Flash Player에 영향을 미치는 Type Confusion 취약점을 해결한 보안 업데이트를 발표했다. 특히, 이번에 발견된 취약점은 실제 침해사고에 악용된 바 있어 필히 업데이트를 적용하는 것이 바람직하다.
[이미지=Adobe홈페이지]
해당 취약점은 공격자가 취약점을 악용하여 악성코드 감염 등의 피해를 발생시킬 수 있다. 이와 관련 한국인터넷진흥원 측은 “해당 취약점은 실제 침해사고에 악용된 사례가 있어 이용자들의 각별한 주의와 적극적인 대처가 필요하다”고 당부했다.
이번에 발견된 취약점은 △Adobe Flash Player △Adobe Photoshop CC △Adobe Connect △Adobe Acrobat and Reader △Adobe DNG Converter △Adobe InDesign △Adobe Digital Editions △Adobe Shockwave Player △Adobe Experience Manager에서 발생하는 취약점이다.
먼저 Adobe Flash Player에서 발생하는 취약점은 △원격코드 실행으로 이어질 수 있는 Out-of-Bounds Read 취약점(CVE-2017-3112, CVE-2017-3114, CVE-2017-11213) △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11215, CVE-2017-11225) 등 5개 취약점이다.
이어 Adobe Photoshop CC에서 발생하는 취약점은 △원격코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11303)과 △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11304) 2개이다.
Adobe Connect에서 발생하는 취약점은 △네트워크 접근 제어 우회를 가능하게 하는 Server-Side Request Forgery(SSRF) 취약점(CVE-2017-11291) △정보 노출로 이어질 수 있는 Reflected Cross-site Scripting 취약점(CVE-2017-11287, CVE-2017-11288, CVE-2017-11289) △정보 노출로 이어질 수 있는 클릭재킹 취약점(CVE-2017-11290) 등 5개다.
Adobe Acrobat and Reader에서 발생하는 취약점은 무려 62개로 △원격코드 실행으로 이어질 수 있는 초기화되지 않은 포인터에 접근하여 발생하는 취약점(CVE-2017-16377, CVE-2017-16378) △원격코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-16360, CVE-2017-16388, CVE-2017-16389, CVE-2017-16390, CVE-2017-16393, CVE-2017-16398) △잘못된 길이 값으로 버퍼에 접근해 발생하는 원격코드 실행 취약점(CVE-2017-16381, CVE-2017-16385, CVE-2017-16392, CVE-2017-16395, CVE-2017-16396)
△원격코드 실행으로 이어질 수 있는 버퍼 오버리드(over-read) 취약점(CVE-2017-16363, CVE-2017-16365, CVE-2017-16374, CVE-2017-16384, CVE-2017-16386, CVE-2017-16387) △원격코드 실행으로 이어질 수 있는 버퍼 오버플로우/언더플로우 취약점(CVE-2017-16368) △원격코드 실행으로 이어질 수 있는 힙 오버플로우 취약점(CVE-2016-16383)
△배열의 인덱스 값에 대한 검증 미흡으로 발생하는 원격코드 실행 취약점(CVE-2017-16391, CVE-2017-16410) △원격코드 실행으로 이어질 수 있는 Out-of-bounds 쓰기 취약점(CVE-2017-16407, CVE-2017-16413, CVE-2017-16415, CVE-2017-16416) △Drive-by-download로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16361, CVE-2017-16366)
△정보 노출로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16369) △원격코드 실행으로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16380) △자원 과소비로 이어질 수 있는 Stack Exhaustion 취약점(CVE-2017-16419)이다.
△원격코드 실행으로 이어질 수 있는 Type Confusion 취약점(CVE-2017-16367, CVE-2017-16479, CVE-2017-16406) △원격코드 실행으로 이어질 수 있는 Untrusted Pointer Dereference 취약점(CVE-2017-16364, CVE-2017-16371, CVE-2017-16372, CVE-2017-16373, CVE-2017-16375, CVE-2017-16411)이다.
Adobe DNG Converter에서 발생하는 취약점은 메모리 손상 취약점(CVE-2017-11295)이다.
Adobe InDesign에서 발생하는 취약점[6]은 원격코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11302)이다.
Adobe Digital Editions에서 발생하는 취약점[7]은 △정보 노출로 이어질 수 있는 안전하지 않은 XXE 파싱 취약점(CVE-2017-11273) △메모리 주소 유출로 이어질 수 있는 Out-of-bounds 읽기 취약점(CVE-2017-11297, CVE-2017-11298, CVE-2017-11299, CVE-2017-11300) △메모리 주소 유출로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11301) 취약점 총 6개다.
Adobe Shockwave Player에서 발생하는 취약점[8]은 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11294)이다.
[이미지=한국인터넷진흥원]
Adobe Experience Manager에서 발생하는 취약점[9]은 △정보 노출로 이어질 수 있는 Reflected Cross-Site-Scripting 취약점(CVE-2017-3109) △HTTP GET 요청 내 민감한 토큰 정보가 유출되어 발생하는 정보 유출 취약점(CVE-2017-3111) △정보 노출로 이어질 수 있는 Cross-Site-Scripting 취약점(CVE-2017-11296) 등 3개다.
따라서 Adobe Flash Player 사용자는 윈도우즈, 맥, 리눅스 환경의 Adobe Flash Player Desktop Runtime 사용자는 27.0.0.187 버전으로 업데이트 적용해야 한다.
Adobe Flash Player Download Center(https://get.adobe.com/flashplayer/)에 방문해 최신 버전을 설치하거나 자동 업데이트를 이용해 업그레이드해야 한다. Adobe Flash Player가 설치된 구글 크롬은 자동으로 최신 업데이트 버전을 적용해야 한다. 또한, Windows 10 및 Windows 8.1에서 Microsoft Edge, Internet Explorer 11에 Adobe Flash Player를 설치한 사용자는 자동으로 최신 업데이트가 적용되도록 하면 한다.
윈도우즈, 맥 환경의 Adobe Photoshop CC 사용자는 Adobe Photoshop CC 2018 19.0(2018.0) 버전 또는 Adobe Photoshop CC 2017 18.1.2(2017.1.2) 버전으로 업데이트를 적용해야 한다.
윈도우즈 환경의 Adobe Connect 사용자는 9.7 버전으로 업데이트를 적용해야 한다. https://helpx.adobe.com/adobe-connect/release-note/adobe-connect-9-7-release-notes.html 사이트를 참고하면 된다.
Windows, Mac 환경의 Adobe Acrobat and Reader 사용자는 해당하는 소프트웨어에 따라 최신 버전으로 업데이트를 적용해야 한다. Adobe Acrobat Reader Download Center(https://get.adobe.com/kr/reader/)에 방문해 최신 버전을 설치하거나 자동 업데이트를 이용해 업그레이드를 적용해야 한다.
윈도우즈 환경의 Adobe DNG Converter 사용자는 10.0버전으로 업데이트 적용을 해야 한다. http://supportdownloads.adobe.com/detail.jsp?ftpID=6220 사이트를 참고하면 된다.
윈도우즈, 맥 환경의 Adobe InDesing 사용자는 13.0버전으로 업데이트를 적용해야 한다. https://helpx.adobe.com/indesign/release-note/indesign-cc-2018.html 사이트를 참고하면 된다.
윈도우즈, 맥, iOS, 안드로이드 환경의 Adobe Digital Editions 사용자는 4.5.7 버전으로 업데이트를 적용해야 한다.
-윈도우즈, 맥 다운로드 : https://www.adocbe.com/solutions/ebook/digital-
editions/download.html
-iOS 다운로드 : https://itunes.apple.com/us/app/adobe-digital-editions/id952977781?mt=8
-안드로이드 다운로드 : https://play.google.com/store/apps/details?
id=com.adobe.digitaleditions
윈도우즈 환경의 Adobe Shockwave 사용자는 12.3.1.201 버전으로 업데이트를 적용해야 한다(다운로드 : https://get.adobe.com/shockwave/).
Adobe Experience Manager 사용자는 아래 링크를 참고해 업데이트를 적용해야 한다.
Adobe Experience Manager 6.3 버전 : https://helpx.adobe.com/experience-
manager/kb/aem63-available-hotfixes.html
Adobe Experience Manager 6.2 버전 : https://helpx.adobe.com/experience-
manager/kb/aem62-available-hotfixes.html
Adobe Experience Manager 6.1 버전 : https://helpx.adobe.com/experience-
manager/kb/aem61-available-hotfixes.html
Adobe Experience Manager 6.0 버전 : https://helpx.adobe.com/experience-
manager/kb/aem60-available-hotfixes.html
Type Confusion 취약점: 객체의 인스턴스가 타입을 혼동하여 나는 오류
Use-After-Free 취약점: 소프트웨어 구현 시 동적 혹은 정적으로 할당된 메모리를 해제했음에도 불구하고 이를 계속 참조(사용)해 발생하는 취약점
XXE(XML External Entity): XML 문서에서 동적으로 외부 URI의 리소스를 포함시킬 수 있는 외부 엔티티를 사용하는 것
좀 더 자세한 사항은 한국인터넷진흥원 인터넷침해대응센터(국번없이 118)에 문의하면 된다.
[참고사이트]
[1] https://helpx.adobe.com/security/products/flash-player/apsb17-33.html
[2] https://helpx.adobe.com/security/products/photoshop/apsb17-34.html
[3] https://helpx.adobe.com/security/products/connect/apsb17-35.html
[4] https://helpx.adobe.com/security/products/acrobat/apsb17-36.html
[5] https://helpx.adobe.com/security/products/dng-converter/apsb17-37.html
[6] https://helpx.adobe.com/security/products/indesign/apsb17-38.html
[7] https://helpx.adobe.com/security/products/Digital-Editions/apsb17-39.html
[8] https://helpx.adobe.com/security/products/shockwave/apsb17-40.html
[9] https://helpx.adobe.com/security/products/experience-manager/apsb17-41.html
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-01] 
