보안 업데이트 2021-007 Catalina의 보안 콘텐츠에 관하여

이 문서에서는 보안 업데이트 2021-007 Catalina의 보안 콘텐츠에 대해 설명합니다.

Apple 보안 업데이트에 관하여

Apple은 고객 보호를 위해 조사를 마치고 패치 또는 출시 버전을 제공할 수 있을 때까지는 보안 문제를 공개하거나, 논의하거나, 확인해 주지 않습니다. 최신 출시 버전은 Apple 보안 업데이트 페이지에 나와 있습니다.

Apple 보안 문서에서는 가능한 경우 취약점을 CVE-ID로 표시합니다.

보안에 대한 자세한 내용은 Apple 제품 보안 페이지를 참조하십시오.

보안 업데이트 2021-007 Catalina

AppKit

대상: macOS Catalina

영향: 악성 응용 프로그램이 권한을 높일 수 있음

설명: 로직 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2021-30873: Computest Research Division의 Thijs Alkemade

AppleScript

대상: macOS Catalina

영향: 악의적으로 제작된 AppleScript 바이너리를 처리하면 응용 프로그램이 예기치 않게 종료되거나 프로세스 메모리가 공개될 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2021-30876: Jeremy Brown, hjy79425575

CVE-2021-30879: Jeremy Brown, hjy79425575

CVE-2021-30877: Jeremy Brown

CVE-2021-30880: Jeremy Brown

Audio

대상: macOS Catalina

영향: 악성 응용 프로그램이 권한을 높일 수 있음

설명: 정수 오버플로우는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2021-30907: Kunlun Lab의 Zweig

Bluetooth

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 경합 상태는 향상된 상태 처리를 통해 해결되었습니다.

CVE-2021-30899: Weiteng Chen, Zheng Zhang, UC Riverside의 Zhiyun Qian 및 Didi Research America의 Yu Wang

ColorSync

대상: macOS Catalina

영향: 악의적으로 제작된 이미지를 처리하면 임의 코드가 실행될 수 있음

설명: ICC 프로파일 처리 시 발생하는 메모리 손상 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2021-30926: Jeremy Brown

ColorSync

대상: macOS Catalina

영향: 악의적으로 제작된 이미지를 처리하면 임의 코드가 실행될 수 있음

설명: ICC 프로파일을 처리할 때 메모리 손상 문제가 발생했으나 이 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2021-30917: Google Project Zero의 Alexandru-Vlad Niculae 및 Mateusz Jurczyk

Continuity Camera

대상: macOS Catalina

영향: 로컬 공격자가 응용 프로그램을 예기치 않게 종료하거나 임의 코드를 실행할 수 있음

설명: 제어되지 않은 형식 문자열 문제는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2021-30903: Hangzhou Dianzi University의 Gongyu Ma

CoreAudio

대상: macOS Catalina

영향: 악성 오디오 파일을 처리하면 응용 프로그램이 예기치 않게 종료되거나 임의 코드가 실행될 수 있음

설명: 로직 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2021-30834: Ant Security Light-Year Lab의 JunDong Xie

CoreAudio

대상: macOS Catalina

영향: 악의적으로 제작된 파일을 처리하면 사용자 정보가 공개될 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2021-30905: Trend Micro의 Mickey Jin(@patch1t)

CoreGraphics

대상: macOS Catalina

영향: 악의적으로 생성된 PDF를 처리하면 임의 코드가 실행될 수 있음

설명: 범위를 벗어난 쓰기는 향상된 입력 유효성 확인을 통해 해결되었습니다.

CVE-2021-30919: Apple

FileProvider

대상: macOS Catalina

영향: 악의적으로 제작된 아카이브의 압축을 해제하면 임의 코드가 실행될 수 있음

설명: 입력 유효성 확인 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2021-30881: Qihoo 360 IceSword Lab의 Simon Huang(@HuangShaomang) 및 pjf

iCloud

대상: macOS Catalina

영향: 로컬 공격자가 자신의 권한을 높일 수 있음

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2021-30906: Cees Elzinga

Intel Graphics Driver

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 여러 범위를 벗어난 쓰기 문제가 향상된 경계 검사를 통해 해결되었습니다.

CVE-2021-30922: RET2 Systems, Inc.의 Jack Dates, Yinyi Wu(@3ndy1)

Intel Graphics Driver

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2021-30824: Diverto의 Antonio Zekic(@antoniozekic)

Intel Graphics Driver

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 여러 범위를 벗어난 쓰기 문제가 향상된 경계 검사를 통해 해결되었습니다.

CVE-2021-30901: Ant Security TianQiong Lab의 Zuozhi Fan(@pattern_F_), RET2 Systems, Inc.의 Jack Dates, Ant Security Light-Year Lab의 Yinyi Wu(@3ndy1)

IOGraphics

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2021-30821: Zoom Video Communications의 Tim Michaud(@TimGMichaud)

Kernel

대상: macOS Catalina

영향: 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2021-30909: Kunlun Lab의 Zweig

Kernel

대상: macOS Catalina

영향: 악성 응용 프로그램이 커널 권한을 사용하여 임의 코드를 실행할 수 있음

설명: 메모리 손상 문제는 향상된 메모리 처리를 통해 해결되었습니다.

CVE-2021-30916: Kunlun Lab의 Zweig

Model I/O

대상: macOS Catalina

영향: 악의적으로 제작된 파일을 처리하면 사용자 정보가 공개될 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2021-30910: Trend Micro의 Mickey Jin(@patch1t)

Model I/O

대상: macOS Catalina

영향: 악의적으로 제작된 USD 파일을 처리하면 메모리 내용이 공개될 수 있음

설명: 범위를 벗어난 읽기는 향상된 범위 검사를 통해 해결되었습니다.

CVE-2021-30911: Ant Security Light-Year Lab의 Rui Yang 및 Xingwei Lin

SMB

대상: macOS Catalina

영향: 원격 공격자가 메모리를 유출할 수 있음

설명: 로직 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2021-30844: STAR Labs의 Peter Nguyen Vu Hoang

SoftwareUpdate

대상: macOS Catalina

영향: 권한이 없는 응용 프로그램이 NVRAM 변수를 편집할 수 있음

설명: 로직 문제는 향상된 제한 조치를 통해 해결되었습니다.

CVE-2021-30913: Tencent Security Xuanwu Lab의 Kirin(@Pwnrin) 및 chenyuwang(@mzzzz__)

SoftwareUpdate

대상: macOS Catalina

영향: 악성 응용 프로그램에서 사용자의 키체인 항목에 접근할 수 있음

설명: 이 문제는 향상된 권한 로직을 통해 해결되었습니다.

CVE-2021-30912: Tencent Security Xuanwu Lab의 Kirin(@Pwnrin) 및 chenyuwang(@mzzzz__)

UIKit

대상: macOS Catalina

영향: 기기에 물리적으로 접근할 수 있는 사람이 보안 텍스트 입력 필드에서 사용자 암호의 특성을 확인할 수 있음

설명: 로직 문제는 향상된 상태 관리를 통해 해결되었습니다.

CVE-2021-30915: Kostas Angelopoulos

xar

대상: macOS Catalina

영향: 악의적으로 제작된 아카이브 압축을 풀면 공격자가 임의 파일을 쓸 수 있음

설명: 이 문제는 향상된 검사를 통해 해결되었습니다.

CVE-2021-30833: NCC Group의 Richard Warren

zsh

대상: macOS Catalina

영향: 악성 응용 프로그램이 파일 시스템의 보호된 부분을 수정할 수 있음

설명: 상속된 권한 문제는 추가 제한을 적용하여 해결되었습니다.

CVE-2021-30892: Microsoft의 Jonathan Bar Or

감사의 말

iCloud

도움을 주신 Ryan Pickren(ryanpickren.com) 님께 감사드립니다.