2012년 9월 22일(토)에 발표된 마이크로소프트 긴급 보안 공지(비정기) 내용을 요약하여 제공합니다.

마이크로소프트는 새로 발견된 Internet Explorer 취약점에 대한 긴급 보안 공지 MS12-063(2744842)와 Internet Explorer 10의 Adobe Flash Player 에 대한 보안 권고 2755801 를 발표합니다.

 

신규 보안 공지

================================================

MS12-063 (긴급) Internet Explorer 누적 보안 업데이트 (2744842) - Internet Explorer 6, Internet Explorer 7, Internet Explorer 8, Internet Explorer 9

MS12-063(2744842)은 마이크로소프트 보안 권고 2757760에서 처음 기술했던 취약점을 해결하는 업데이트입니다. 

 

신규 보안 권고

================================================

보안 권고 2755801 Update for Vulnerabilities in Adobe Flash Player in Internet Explorer 10 - Internet Explorer 10

 

보안 공지 기술 세부 사항

================================================

아래 영향을 받는 소프트웨어와 영향을 받지 않는 소프트웨어 표에서, 나열되지 않은 소프트웨어는 지원 기간이 지난 제품입니다. 제품과 버전에 대한 지원 기간을 보려면 마이크로소프트 지원 기간 페이지http://support.microsoft.com/lifecycle/ 를 참고하여 주십시오.

 

==================================

보안 공지 MS12-063

==================================

제목: Internet Explorer 누적 보안 업데이트 (2744842)

 

요약: 이 보안 업데이트는 Internet Explorer에 대하여 공개적으로 발견된 1건의 취약점과 비공개적으로 보고된 4건의 취약점을 해결합니다.

가장 위험한 취약점으로 인해 사용자가 Internet Explorer를 사용하여 특수하게 조작된 웹 페이지를 볼 경우 원격 코드 실행이 허용될 수 있습니다. 이러한 취약점 중 하나를 성공적으로 악용한 공격자는 현재 사용자와 동일한 권한을 얻을 수 있스니다. 보안 업데이트는 Internet Explorer가 메모리에서 개체를 처리하는 방법을 수정하여 취약점을 해결합니다.

또한 이 보안 업데이트는 보안 권고 2757760에서 처음 기술했던 취약점을 해결합니다.

 

최대 심각도: 긴급 

영향을 받는 소프트웨어:

- Internet Explorer 6

- Internet Explorer 7

- Internet Explorer 8

- Internet Explorer 9

(아래 링크에서 영향을 받는 소프트웨어와 다운로드 위치를 확인하십시오) 

영향을 받지 않는 소프트웨어:

- Internet Explorer 10

- Server Core

 

취약점:

- OnMove Use After Free Vulnerability (CVE-2012-1529)

- Event Listener Use After Free Vulnerability (CVE-2012-2546)

- Layout Use After Free Vulnerability(CVE-2012-2548)

- cloneNode Use After Free Vulnerability(CVE-2012-2557)

- execCommand Use After Free Vulnerability (CVE-2012-4969)

 

취약점으로 인한 영향: 원격 코드 실행

 

시스템 재시작: 필요함

 

이번 업데이트로 대체되는 보안 공지: MS12-052

 

상세 정보: http://technet.microsoft.com/ko-kr/security/bulletin/MS12-063  

 

==================================

보안 권고 2755801

==================================

제목: Update for Vulnerabilities in Adobe Flash Player in Internet Explorer 10

 

요약: 마이크로소프트는 지원 대상인 모든 Windows 8 및 Windows Server 2012 의 Internet Explorer 10 에 대한 Adobe Flash Player 업데이트를 발표합니다.

이 업데이트는 Internet Explorer 10에 포함된 영향을 받는 Adobe Flash 라이브러리를 업데이트하여 Adobe Flash Player의 취약점을 해결합니다. 

 

영향을 받는 소프트웨어: Windows 8 및 Windows 2012의 Internet Explorer 10

 

완화 요소:

- 데스크톱용 Internet Explorer 10을 사용하는 웹을 통한 공격의 경우, 공격자는 호스팅하는 웹 사이트에 이 취약점을 악용하는 웹 페이지를 포함할 수 있습니다. 또한 사용자가 제공한 콘텐츠나 광고를 허용하거나 호스팅하는 공격 당한 웹 사이트에는 이 취약점을 악용할 수 있는 특수하게 조작된 콘텐츠가 포함되어 있을 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 인스턴트 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다. 

- Windows 8-style UI 용 Internet Explorer 10은 호환성 보기(CV)목록에 등록된 사이트에 대해서만 Flash 콘텐츠를 재생할 수 있습니다. 이러한 제한은 공격자가 먼저 CV 목록에 있는 웹사이트를 손상시켜야 합니다. 공격자는 호스팅하는 웹 사이트에 이 취약점을 악용하는 웹 페이지를 포함할 수 있고 특수하게 조작된 Flash 콘텐츠가 포함되어 있을 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신
공격자는 사용자가 전자 메일 메시지 또는 인스턴트 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다. 

- 기본적으로 지원 대상인 모든 Microsoft Outlook 과 Windows Mail은 제한된 사이트 영역에서 HTML 메일 메시지를 엽니다. 스크립트 및 ActiveX 컨트롤을 비활성화하는 제한된 사이트 영역은 공격자가 이 취약점을 악용하여 악성 코드를 실행하는 위험을 줄이는 데 도움이 됩니다. 사용자가 메일에 포함된 링크를 클릭하면 웹 기반 공격 시나리오를 통해 이 취약점 악용에 취약해질 수 있습니다. 

- 기본적으로 Windows Server 2012의 Internet Explorer 는 보안 강화 구성으로 알려진 제한된 모드로 실행됩니다. 이 모드에서는 Internet Explorer 10의 Adobe Flash Player 취약점이 완화됩니다.

 

상세 정보: http://technet.microsoft.com/ko-kr/security/advisory/2755801

 

추가 정보

==================================

- 보안 공지 MS12-063 – Internet Explorer 누적 보안 업데이트(2744842) http://technet.microsoft.com/security/bulletin/MS12-063

- 보안 권고 2757760 – Internet Explorer의 취약점으로 인한 원격 코드 실행 문제점 http://technet.microsoft.com/ko-kr/security/advisory/2757760   

- 보안 권고 2755801 – Update for Vulnerabilities in Adobe Flash Player in Internet Explorer 10 http://technet.microsoft.com/ko-kr/security/advisory/2755801  

- Microsoft Security Response Center (MSRC) Blog: http://blogs.technet.com/msrc/   

- Microsoft Security Research & Defense (SRD) Blog: http://blogs.technet.com/srd/

- Security Notification Service http://technet.microsoft.com/en-us/security/dd252948.aspx