Adobe 제품군 신규 취약점 보안 업데이트 권고

2017-11-21

□ 개요 o Adobe社는 Adobe Flash Player에 영향을 미치는 Type Confusion 취약점을 해결한 보안 업데이트를 발표 o 공격자는 해당 취약점을 악용하여 악성 코드 감염 등의 피해를 발생시킬 수 있으므로 해당 제품을 사용하는 이용자들은

최신 버전으로 업데이트 권고 ※ 해당 취약점은 실제 침해사고에 악용된 사례가 있으므로 이용자들의 각별한 주의와 적극적인 대처 필요 □ 설명 o Adobe Flash Player에서 발생하는 5개의 취약점을 해결하는 보안 업데이트를 발표 [1] - 원격 코드 실행으로 이어질 수 있는 Out-of-Bounds Read 취약점(CVE-2017-3112, CVE-2017-3114,

CVE-2017-11213) - 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11215, CVE-2017-11225) o Adobe Photoshop CC에서 발생하는 2개의 취약점을 해결하는 보안 업데이트를 발표 [2] - 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11303) - 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11304) o Adobe Connect에서 발생하는 5개의 취약점을 해결하는 보안 업데이트를 발표 [3] - 네트워크 접근 제어 우회를 가능하게 하는 Server-Side Request Forgery(SSRF) 취약점(CVE-2017-11291) - 정보 노출로 이어질 수 있는 Reflected Cross-site Scripting 취약점(CVE-2017-11287, CVE-2017-11288, CVE-2017-11289) - 정보 노출로 이어질 수 있는 클릭재킹 취약점(CVE-2017-11290) o Adobe Acrobat and Reader에서 발생하는 62개의 취약점을 해결하는 보안 업데이트를 발표 [4] - 원격 코드 실행으로 이어질 수 있는 초기화되지 않은 포인터에 접근하여 발생하는 취약점(CVE-2017-16377,

CVE-2017-16378) - 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-16360, CVE-2017-16388,

CVE-2017-16389, CVE-2017-16390, CVE-2017-16393, CVE-2017-16398) - 잘못된 길이 값으로 버퍼에 접근하여 발생하는 원격 코드 실행 취약점(CVE-2017-16381, CVE-2017-16385, CVE-

2017-16392, CVE-2017-16395, CVE-2017-16396) - 원격 코드 실행으로 이어질 수 있는 버퍼 오버리드(over-read) 취약점(CVE-2017-16363, CVE-2017-16365, CVE-2017-

16374, CVE-2017-16384, CVE-2017-16386, CVE-2017-16387) - 원격 코드 실행으로 이어질 수 있는 버퍼 오버플로우/언더플로우 취약점(CVE-2017-16368) - 원격 코드 실행으로 이어질 수 있는 힙 오버플로우 취약점(CVE-2016-16383) - 배열의 인덱스 값에 대한 검증 미흡으로 발생하는 원격 코드 실행 취약점(CVE-2017-16391, CVE-2017-16410) - 원격 코드 실행으로 이어질 수 있는 Out-of-bounds 쓰기 취약점(CVE-2017-16407, CVE-2017-16413, CVE-2017-

16415, CVE-2017-16416) - Drive-by-download로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16361, CVE-2017-16366) - 정보 노출로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16369) - 원격 코드 실행으로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16380) - 자원 과소비로 이어질 수 있는 Stack Exhaustion 취약점(CVE-2017-16419) - 원격 코드 실행으로 이어질 수 있는 Type Confusion 취약점(CVE-2017-16367, CVE-2017-16479, CVE-2017-16406) - 원격 코드 실행으로 이어질 수 있는 Untrusted Pointer Dereference 취약점(CVE-2017-16364, CVE-2017-16371,

CVE-2017-16372, CVE-2017-16373, CVE-2017-16375, CVE-2017-16411) o Adobe DNG Converter에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [5] - 메모리 손상 취약점(CVE-2017-11295) o Adobe InDesign에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [6] - 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11302) o Adobe Digital Editions에서 발생하는 6개의 취약점을 해결하는 보안 업데이트를 발표 [7] - 정보 노출로 이어질 수 있는 안전하지 않은 XXE 파싱 취약점(CVE-2017-11273) - 메모리 주소 유출로 이어질 수 있는 Out-of-bounds 읽기 취약점(CVE-2017-11297, CVE-2017-11298, CVE-2017-

11299, CVE-2017-11300) - 메모리 주소 유출로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11301) o Adobe Shockwave Player에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [8] - 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11294) o Adobe Experience Manager에서 발생하는 3개의 취약점을 해결하는 보안 업데이트를 발표 [9] - 정보 노출로 이어질 수 있는 Reflected Cross-Site-Scripting 취약점(CVE-2017-3109) - HTTP GET 요청 내 민감한 토큰 정보가 유출되어 발생하는 정보 유출 취약점(CVE-2017-3111) - 정보 노출로 이어질 수 있는 Cross-Site-Scripting 취약점(CVE-2017-11296) □ 영향을 받는 제품 o Adobe Flash Player

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe Flash Player Desktop Runtime	윈도우즈, 맥	27.0.0.183 및 이전 버전
Adobe Flash Player for Google Chrome	윈도우즈, 맥, 리눅스, Chrome OS	27.0.0.183 및 이전 버전
Adobe Flash Player for Microsoft Edge and Internet Explorer 11	윈도우즈 10 and 8.1	27.0.0.183 및 이전 버전
Adobe Flash Player Desktop Runtime	리눅스	27.0.0.183 및 이전 버전

o Adobe Photoshop CC

소프트웨어 명	동작 환경	영향을 받는 버전
Photoshop CC 2017	윈도우즈, 맥	18.1.1 및 이전 버전

o Adobe Connect

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe Connect	모두	9.6.2 및 이전 버전

o Adobe Acrobat and Reader

소프트웨어 명	동작 환경	영향을 받는 버전
Acrobat DC (Continuous Track)	윈도우즈, 맥	2017.012.20098 및 이전 버전
Acrobat Reader DC (Continuous Track)	윈도우즈, 맥	2017.012.20098 및 이전 버전
Acrobat 2017	윈도우즈, 맥	2017.011.30066 및 이전 버전
Acrobat Reader 2017	윈도우즈, 맥	2017.011.30066 및 이전 버전
Acrobat DC (Classic Track)	윈도우즈, 맥	2015.006.30355 및 이전 버전
Acrobat Reader DC (Classic Track)	윈도우즈, 맥	2015.006.30355 및 이전 버전
Acrobat XI	윈도우즈, 맥	11.0.22 및 이전 버전
Reader XI	윈도우즈, 맥	11.0.22 및 이전 버전

o Adobe DNG Converter

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe DNG Converter	윈도우즈	9.12.1 및 이전 버전

o Adobe InDesign

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe InDesign	윈도우즈, 맥	12.1.0 및 이전 버전

o Adobe Digital Editions

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe Digital Editions	윈도우즈, 맥, iOS 및 안드로이드	4.5.6 및 이전 버전

o Adobe Shockwave Player

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe Shockwave Player	윈도우즈	12.2.9.199 및 이전 버전

o Adobe Experience Manager

소프트웨어 명	동작 환경	영향을 받는 버전
Adobe Experience Manager	모두	6.3, 6.2, 6.1, 6.0

□ 해결 방안 o Adobe Flash Player 사용자 - 윈도우즈, 맥, 리눅스 환경의 Adobe Flash Player Desktop Runtime 사용자는 27.0.0.187 버전으로 업데이트 적용 ※ Adobe Flash Player Download Center(https://get.adobe.com/flashplayer/)에 방문하여 최신 버전을 설치하거나

자동 업데이트를 이용하여 업그레이드 - Adobe Flash Player가 설치된 Google Chrome는 자동으로 최신 업데이트 버전 적용 - Windows 10 및 Windows 8.1에서 Microsoft Edge, Internet Explorer 11에 Adobe Flash Player를 설치한

사용자는 자동으로 최신 업데이트가 적용 o Adobe Photoshop CC - 윈도우즈, 맥 환경의 Adobe Photoshop CC 사용자는 Adobe Photoshop CC 2018 19.0(2018.0) 버전 또는 Adobe

Photoshop CC 2017 18.1.2(2017.1.2) 버전으로 업데이트 적용 o Adobe Connect 사용자 - 윈도우즈 환경의 Adobe Connect 사용자는 9.7 버전으로 업데이트 적용 ※ 참고 : https://helpx.adobe.com/adobe-connect/release-note/adobe-connect-9-7-release-notes.html o Adobe Acrobat and Reader 사용자 - Windows, Mac 환경의 Adobe Acrobat and Reader 사용자는 해당하는 소프트웨어에 따라 최신 버전으로 업데이트 적용 - Adobe Acrobat Reader Download Center(https://get.adobe.com/kr/reader/)에 방문하여 최신 버전을 설치하거나,

자동 업데이트를 이용하여 업그레이드

소프트웨어 명	최신 버전
Acrobat DC (Continuous Track)	2018.009.20044
Acrobat Reader DC (Continuous Track)	2018.009.20044
Acrobat 2017	2017.011.30068
Acrobat Reader 2017	2017.011.30068
Acrobat DC (Classic Track)	2015.006.30392
Acrobat Reader DC (Classic Track)	2015.006.30392
Acrobat XI	11.0.23
Reader XI	11.0.23

o Adobe DNG Converter 사용자 - 윈도우즈 환경의 Adobe DNG Converter 사용자는 10.0버전으로 업데이트 적용 ※ 참고 : http://supportdownloads.adobe.com/detail.jsp?ftpID=6220 o Adobe InDesign 사용자 - 윈도우즈, 맥 환경의 Adobe InDesing 사용자는 13.0버전으로 업데이트 적용 ※ 참고 : https://helpx.adobe.com/indesign/release-note/indesign-cc-2018.html o Adobe Digital Editions 사용자 - 윈도우즈, 맥, iOS, 안드로이드환경의 Adobe Digital Editions 사용자는 4.5.7 버전으로 업데이트 적용 ※ 윈도우즈, 맥 다운로드 : https://www.adocbe.com/solutions/ebook/digital-editions/download.html ※ iOS 다운로드 : https://itunes.apple.com/us/app/adobe-digital-editions/id952977781?mt=8 ※ 안드로이드 다운로드 : https://play.google.com/store/apps/details?id=com.adobe.digitaleditions o Adobe Shockwave Player 사용자 - 윈도우즈 환경의 Adobe Shockwave 사용자는 12.3.1.201 버전으로 업데이트 적용 ※ 다운로드 : https://get.adobe.com/shockwave/ o Adobe Experience Manager 사용자 - Adobe Experience Manager 사용자는 아래 링크를 참고하여 업데이트 적용 ※ Adobe Experience Manager 6.3 버전 : https://helpx.adobe.com/experience-manager/kb/aem63-available-hotfixes.html ※ Adobe Experience Manager 6.2 버전 : https://helpx.adobe.com/experience-manager/kb/aem62-available-hotfixes.html ※ Adobe Experience Manager 6.1 버전 : https://helpx.adobe.com/experience-manager/kb/aem61-available-hotfixes.html ※ Adobe Experience Manager 6.0 버전 : https://helpx.adobe.com/experience-manager/kb/aem60-available-hotfixes.html □ 용어 정리 o Type Confusion 취약점 : 객체의 인스턴스가 타입을 혼동하여 나는 오류 o Use-After-Free 취약점 : 소프트웨어 구현 시 동적 혹은 정적으로 할당된 메모리를 해제했음에도 불구하고 이를 계속