안전한 아이폰 이용을 위한 최신 업데이트 권고 □ 개요 o 최근 애플社에서 아이폰(iPhone) 운영체제 최신 버전인 iOS 4을 공개 [1] o iOS 4는 아이폰(iPhone) 및 아이팟터치(iPod Touch)에 대한 보안 업데이트를 포함함 [1] - iOS 4는 이용자 어플리케이션을 비정상적으로 종료시키거나 이용자 단말기에 악성코드를 감염 시킬 수 있는 취약점에 대한 보안업데이트를 포함 o 이에 국내 아이폰 및 아이팟터치 이용자들은 소프트웨어 업데이트를 권고함 [1] □ 설명 o 최근 애플社에서 취약점 64개에 대한 보안 업데이트를 포함하는 iPhone iOS 4를 공개[1] - Application Sandbox (CVE-2010-1751) : Application Sandbox가 어플리케이션이 이용자의 사진을 처리함에 있어 방문했던 위치 정보를 권한이 없어도 접근할 수 있는 취약점 [2] - CFNetwork (CVE-2010-1752) : CFNetwork의 URL을 처리하는 과정에서 스택 오버플로우가 발생하여 어플리케이션이 종료되거나 임의의 코드가 실행될 수 있는 취약점 [3] - ImageIO (CVE-2010-0041, CVE-2010-0042) : 해커에 의해 악의적으로 조작된 웹사이트를 방문 할 경우 safari 웹브라우저의 메모리 영역의 데이터를 특정 웹사이트에 전송할 수 있는 취약점 [4],[5] - ImageIO (CVE-2010-0043, CVE-2010-1753) : 악의적으로 조작된 TIFF 및 JPEG 이미지를 처리하는 과정에서 어플리케이션이 종료하거나 임의 코드를 실행할 수 있는 취약점 [6],[7] - LibSystem (CVE-2009-0689) : 신뢰되지 않는 데이터를 형변환하는 과정에서 프로그램이 비정상적으로 종료되거나 임의 코드를 실행할 수 있는 취약점 [8] - libxml (CVE-2009-2414, CVE-2009-2416) : 해커에 의해 악의적으로 조작된 XML을 처리하는 과정에서 어플리케이션이 비정상적으로 종료되는 취약점 [9],[10] - Passcode Lock (CVE-2010-1754) : MobileMe를 이용하여 원격 잠금을 할 경우 정상적으로 아이폰이 잠금(Passcode lock: 패스워드 잠금)이 되지 않을 수 있는 취약점 [11] - Passcode Lock (CVE-2010-1775) : 물리적으로 단말기(아이폰)에 접근 가능한 공격자가 이용자의 데이터에 접근가능한 취약점입니다. [12] - Safari (CVE-2010-1754) : 수신 Cookie 설정이 정상적으로 적용되지 않는 취약점 [13] - Safari (CVE-2010-1384) : 특수하게 조작된 URL이 난독화되어 피싱공격에 이용될 수 있는 취약점[14] - Safari (CVE-2009-1723) : 악의적으로 조작된 웹사이트를 방문할 경우 인증서 경고가 표시되더 라도 웹사이트에 표시되는 URL 을 조작할 수 있는 취약점 [15] - Settings (CVE-2010-1756) : Settings 어플리케이션의 오류로 다른 무선 네트워크에 접속할 수 있는 취약점 [16] - WebKit (CVE-2009-2195) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [17] - WebKit (CVE-2009-2816) : 악의적으로 조작된 웹페이지에 접속시 다른 웹사이트에 비정상적인 행동을 취할 수 있는 취약점 [18] - WebKit (CVE-2010-0544) : 의적으로 조작된 웹페이지에 접속시 Cross site scripting 공격이 가능한 취약점 [19] - WebKit (CVE-2010-1395) : 악의적으로 조작된 웹페이지에 접속시 Cross site scripting 공격이 가능한 취약점 [20] - WebKit (CVE-2010-0051) : 악의적으로 조작된 웹페이지에 접속시 민감한 정보를 노출시키는 취약점 [21] - WebKit (CVE-2010-1390) : UTF-7 인코딩된 웹페이지에 접속시 Cross site scripting 공격이 가능한 취약점 [22] - WebKit (CVE-2010-0047) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [23] - WebKit (CVE-2010-0053) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [24] - WebKit (CVE-2010-0047) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [25] - WebKit (CVE-2010-1406) : HTTP 사이트로 연결(redirect)하는 HTTPS 사이트에 방문할 경우 정보를 노출시킬 수 있는 취약점 [26] - WebKit (CVE-2010-0048) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [27] - WebKit (CVE-2010-0046) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [28] - WebKit (CVE-2010-0052) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [29] - WebKit (CVE-2010-1397) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [30] - WebKit (CVE-2010-0049) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [31] - WebKit (CVE-2010-1393) : 악의적으로 조작된 웹페이지에 접속시 정보가 노출되는 취약점 [32] - WebKit (CVE-2010-0054) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [33] - WebKit (CVE-2010-1119) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [34] - WebKit (CVE-2010-1387) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [35] - WebKit (CVE-2010-1400) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [36] - WebKit (CVE-2010-1409) : 악의적으로 조작된 웹페이지에 접속시 IRC 서버로 특정 데이터를 전송하는 취약점 [37] - WebKit (CVE-2010-1398) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [38] - WebKit (CVE-2010-1402) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [39] - WebKit (CVE-2010-1394) : 악의적으로 조작된 웹페이지에 접속시 cross-site-scripting 공격이 가능한 취약점 [40] - WebKit (CVE-2010-1399) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [41] - WebKit (CVE-2010-1396) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [42] - WebKit (CVE-2010-1401) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [43] - WebKit (CVE-2010-1403) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [44] - WebKit (CVE-2010-1404) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [45] - WebKit (CVE-2010-1410) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [46] - WebKit (CVE-2010-1391) : 악의적으로 조작된 웹페이지에 접속시 이용자가 쓰기권한을 지닌 위치에 임의의 파일을 생성할 수 있는 취약점 [47] - WebKit (CVE-2010-1408) : 악의적으로 조작된 웹페이지에 접속시 임의의 TCP 포트로 데이터를 전송할 수 있는 취약 [48] - WebKit (CVE-2010-1392) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [49] - WebKit (CVE-2010-1405) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [50] - WebKit (CVE-2010-1407) : 악의적으로 조작된 웹페이지에 접속시 정보를 노출시키는 취약점 [51] - WebKit (CVE-2010-1757) : iframe을 포함하는 웹사이트가 사용자 인터페이스 spoofing을 발생 할 수 있는 취약점 [52] - WebKit (CVE-2010-1413) : 이용자의 NTLM 정보가 MITM(Man In the midddle) 공격자에게 노출 될 수 있는 취약점 [53] - WebKit (CVE-2010-1389) : 악의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [54] - WebKit (CVE-2010-1774, CVE-2010-1769) : 악의적으로 조작된 웹페이지에 접속시 어플리 케이션이 비정상 종료하거나 임의 코드를 실행하는 취약점 [55],[56] - WebKit (CVE-2010-1762) : 악의적으로 조작된 웹페이지에 접속시 cross-site-scripting 공격이 가능한 취약점 [57] - WebKit (CVE-2010-1759) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [58] - WebKit (CVE-2010-1758) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [59] - WebKit (CVE-2010-1415) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [60] - WebKit (CVE-2010-1416) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [61] - WebKit (CVE-2010-1418) : 악의적으로 조작된 웹페이지에 접속시 cross-site-scripting 공격이 가능한 취약점 [62] - WebKit (CVE-2010-1414) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [63] - WebKit (CVE-2010-1417) : 의적으로 조작된 웹페이지에 접속시 어플리케이션이 비정상 종료 하거나 임의 코드를 실행하는 취약점 [64] - WebKit (CVE-2010-0544) : 악의적으로 조작된 웹페이지에 접속시 cross-site-scripting 공격이 가능한 취약점 [65]
□ 업데이트 방법
① PC에서 아이튠즈를 실행하고 iPhone을 PC와 연결
② “업데이트 확인” 버튼을 클릭하여 소프트웨어 업데이트 □ 용어 정리 o WebKit : Apple Safari 및 Google 크롬 브라우저를 포함한 다수의 어플리케이션에서 사용되는 브라우저 프레임워크 o Application Sandbox : 실행중인 어플리케이션이 서로 영향을 주지 못하도록 분리 독립시키는 보안 메커니즘 □ 기타 문의사항 o Jailbreak된 iPhone도 업데이트가 가능한가요? - 업데이트가 가능합니다. 아이튠즈를 통해 업데이트를 하시길 바랍니다. ※ 단, 본 업데이트를 적용할 경우 Jailbreak가 적용되지 않은 상태로 돌아갑니다.
o iOS 4 업그레이드 후 일부 어플리케이션이 작동되지 않는 문제가 있습니다. - 일부 은행권 어플리케이션중에 실행도중 비정상적으로 종료되는 문제가 있습니다. 현재 해당 개발업체에서 버전 업그레이드중이니 iOS 4업그레이드 후에 해당 어플리케이션도 반드시 업데이트 하시기 바랍니다.
