Adobe 제품군 신규 취약점 보안 업데이트 권고
□ 개요
o Adobe社는 Adobe Flash Player에 영향을 미치는 Type Confusion 취약점을 해결한 보안 업데이트를 발표
o 공격자는 해당 취약점을 악용하여 악성 코드 감염 등의 피해를 발생시킬 수 있으므로 해당 제품을 사용하는 이용자들은
최신 버전으로 업데이트 권고
※ 해당 취약점은 실제 침해사고에 악용된 사례가 있으므로 이용자들의 각별한 주의와 적극적인 대처 필요
□ 설명
o Adobe Flash Player에서 발생하는 5개의 취약점을 해결하는 보안 업데이트를 발표 [1]
- 원격 코드 실행으로 이어질 수 있는 Out-of-Bounds Read 취약점(CVE-2017-3112, CVE-2017-3114,
CVE-2017-11213)
- 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11215, CVE-2017-11225)
o Adobe Photoshop CC에서 발생하는 2개의 취약점을 해결하는 보안 업데이트를 발표 [2]
- 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11303)
- 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-11304)
o Adobe Connect에서 발생하는 5개의 취약점을 해결하는 보안 업데이트를 발표 [3]
- 네트워크 접근 제어 우회를 가능하게 하는 Server-Side Request Forgery(SSRF) 취약점(CVE-2017-11291)
- 정보 노출로 이어질 수 있는 Reflected Cross-site Scripting 취약점(CVE-2017-11287, CVE-2017-11288, CVE-2017-11289)
- 정보 노출로 이어질 수 있는 클릭재킹 취약점(CVE-2017-11290)
o Adobe Acrobat and Reader에서 발생하는 62개의 취약점을 해결하는 보안 업데이트를 발표 [4]
- 원격 코드 실행으로 이어질 수 있는 초기화되지 않은 포인터에 접근하여 발생하는 취약점(CVE-2017-16377,
CVE-2017-16378)
- 원격 코드 실행으로 이어질 수 있는 Use After Free 취약점(CVE-2017-16360, CVE-2017-16388,
CVE-2017-16389, CVE-2017-16390, CVE-2017-16393, CVE-2017-16398)
- 잘못된 길이 값으로 버퍼에 접근하여 발생하는 원격 코드 실행 취약점(CVE-2017-16381, CVE-2017-16385, CVE-
2017-16392, CVE-2017-16395, CVE-2017-16396)
- 원격 코드 실행으로 이어질 수 있는 버퍼 오버리드(over-read) 취약점(CVE-2017-16363, CVE-2017-16365, CVE-2017-
16374, CVE-2017-16384, CVE-2017-16386, CVE-2017-16387)
- 원격 코드 실행으로 이어질 수 있는 버퍼 오버플로우/언더플로우 취약점(CVE-2017-16368)
- 원격 코드 실행으로 이어질 수 있는 힙 오버플로우 취약점(CVE-2016-16383)
- 배열의 인덱스 값에 대한 검증 미흡으로 발생하는 원격 코드 실행 취약점(CVE-2017-16391, CVE-2017-16410)
- 원격 코드 실행으로 이어질 수 있는 Out-of-bounds 쓰기 취약점(CVE-2017-16407, CVE-2017-16413, CVE-2017-
16415, CVE-2017-16416)
- Drive-by-download로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16361, CVE-2017-16366)
- 정보 노출로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16369)
- 원격 코드 실행으로 이어질 수 있는 보안 기능 우회 취약점(CVE-2017-16380)
- 자원 과소비로 이어질 수 있는 Stack Exhaustion 취약점(CVE-2017-16419)
- 원격 코드 실행으로 이어질 수 있는 Type Confusion 취약점(CVE-2017-16367, CVE-2017-16479, CVE-2017-16406)
- 원격 코드 실행으로 이어질 수 있는 Untrusted Pointer Dereference 취약점(CVE-2017-16364, CVE-2017-16371,
CVE-2017-16372, CVE-2017-16373, CVE-2017-16375, CVE-2017-16411)
o Adobe DNG Converter에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [5]
- 메모리 손상 취약점(CVE-2017-11295)
o Adobe InDesign에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [6]
- 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11302)
o Adobe Digital Editions에서 발생하는 6개의 취약점을 해결하는 보안 업데이트를 발표 [7]
- 정보 노출로 이어질 수 있는 안전하지 않은 XXE 파싱 취약점(CVE-2017-11273)
- 메모리 주소 유출로 이어질 수 있는 Out-of-bounds 읽기 취약점(CVE-2017-11297, CVE-2017-11298, CVE-2017-
11299, CVE-2017-11300)
- 메모리 주소 유출로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11301)
o Adobe Shockwave Player에서 발생하는 1개의 취약점을 해결하는 보안 업데이트를 발표 [8]
- 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점(CVE-2017-11294)
o Adobe Experience Manager에서 발생하는 3개의 취약점을 해결하는 보안 업데이트를 발표 [9]
- 정보 노출로 이어질 수 있는 Reflected Cross-Site-Scripting 취약점(CVE-2017-3109)
- HTTP GET 요청 내 민감한 토큰 정보가 유출되어 발생하는 정보 유출 취약점(CVE-2017-3111)
- 정보 노출로 이어질 수 있는 Cross-Site-Scripting 취약점(CVE-2017-11296)
□ 영향을 받는 제품
o Adobe Flash Player
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe Flash Player Desktop Runtime | 윈도우즈, 맥 | 27.0.0.183 및 이전 버전 |
| Adobe Flash Player for Google Chrome | 윈도우즈, 맥, 리눅스, Chrome OS | 27.0.0.183 및 이전 버전 |
| Adobe Flash Player for Microsoft Edge and Internet Explorer 11 | 윈도우즈 10 and 8.1 | 27.0.0.183 및 이전 버전 |
| Adobe Flash Player Desktop Runtime | 리눅스 | 27.0.0.183 및 이전 버전 |
o Adobe Photoshop CC
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Photoshop CC 2017 | 윈도우즈, 맥 | 18.1.1 및 이전 버전 |
o Adobe Connect
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe Connect | 모두 | 9.6.2 및 이전 버전 |
o Adobe Acrobat and Reader
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Acrobat DC (Continuous Track) |
윈도우즈, 맥 | 2017.012.20098 및 이전 버전 |
| Acrobat Reader DC (Continuous Track) |
윈도우즈, 맥 | 2017.012.20098 및 이전 버전 |
| Acrobat 2017 | 윈도우즈, 맥 | 2017.011.30066 및 이전 버전 |
| Acrobat Reader 2017 | 윈도우즈, 맥 | 2017.011.30066 및 이전 버전 |
| Acrobat DC (Classic Track) |
윈도우즈, 맥 | 2015.006.30355 및 이전 버전 |
| Acrobat Reader DC (Classic Track) |
윈도우즈, 맥 | 2015.006.30355 및 이전 버전 |
| Acrobat XI | 윈도우즈, 맥 | 11.0.22 및 이전 버전 |
| Reader XI | 윈도우즈, 맥 | 11.0.22 및 이전 버전 |
o Adobe DNG Converter
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe DNG Converter | 윈도우즈 | 9.12.1 및 이전 버전 |
o Adobe InDesign
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe InDesign | 윈도우즈, 맥 | 12.1.0 및 이전 버전 |
o Adobe Digital Editions
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe Digital Editions | 윈도우즈, 맥, iOS 및 안드로이드 | 4.5.6 및 이전 버전 |
o Adobe Shockwave Player
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe Shockwave Player | 윈도우즈 | 12.2.9.199 및 이전 버전 |
o Adobe Experience Manager
| 소프트웨어 명 | 동작 환경 | 영향을 받는 버전 |
| Adobe Experience Manager | 모두 | 6.3, 6.2, 6.1, 6.0 |
□ 해결 방안
o Adobe Flash Player 사용자
- 윈도우즈, 맥, 리눅스 환경의 Adobe Flash Player Desktop Runtime 사용자는 27.0.0.187 버전으로 업데이트 적용
※ Adobe Flash Player Download Center(https://get.adobe.com/flashplayer/)에 방문하여 최신 버전을 설치하거나
자동 업데이트를 이용하여 업그레이드
- Adobe Flash Player가 설치된 Google Chrome는 자동으로 최신 업데이트 버전 적용
- Windows 10 및 Windows 8.1에서 Microsoft Edge, Internet Explorer 11에 Adobe Flash Player를 설치한
사용자는 자동으로 최신 업데이트가 적용
o Adobe Photoshop CC
- 윈도우즈, 맥 환경의 Adobe Photoshop CC 사용자는 Adobe Photoshop CC 2018 19.0(2018.0) 버전 또는 Adobe
Photoshop CC 2017 18.1.2(2017.1.2) 버전으로 업데이트 적용
o Adobe Connect 사용자
- 윈도우즈 환경의 Adobe Connect 사용자는 9.7 버전으로 업데이트 적용
※ 참고 : https://helpx.adobe.com/adobe-connect/release-note/adobe-connect-9-7-release-notes.html
o Adobe Acrobat and Reader 사용자
- Windows, Mac 환경의 Adobe Acrobat and Reader 사용자는 해당하는 소프트웨어에 따라 최신 버전으로 업데이트 적용
- Adobe Acrobat Reader Download Center(https://get.adobe.com/kr/reader/)에 방문하여 최신 버전을 설치하거나,
자동 업데이트를 이용하여 업그레이드
| 소프트웨어 명 | 최신 버전 |
| Acrobat DC (Continuous Track) |
2018.009.20044 |
| Acrobat Reader DC (Continuous Track) |
2018.009.20044 |
| Acrobat 2017 | 2017.011.30068 |
| Acrobat Reader 2017 | 2017.011.30068 |
| Acrobat DC (Classic Track) |
2015.006.30392 |
| Acrobat Reader DC (Classic Track) |
2015.006.30392 |
| Acrobat XI | 11.0.23 |
| Reader XI | 11.0.23 |
o Adobe DNG Converter 사용자
- 윈도우즈 환경의 Adobe DNG Converter 사용자는 10.0버전으로 업데이트 적용
※ 참고 : http://supportdownloads.adobe.com/detail.jsp?ftpID=6220
o Adobe InDesign 사용자
- 윈도우즈, 맥 환경의 Adobe InDesing 사용자는 13.0버전으로 업데이트 적용
※ 참고 : https://helpx.adobe.com/indesign/release-note/indesign-cc-2018.html
o Adobe Digital Editions 사용자
- 윈도우즈, 맥, iOS, 안드로이드환경의 Adobe Digital Editions 사용자는 4.5.7 버전으로 업데이트 적용
※ 윈도우즈, 맥 다운로드 : https://www.adocbe.com/solutions/ebook/digital-editions/download.html
※ iOS 다운로드 : https://itunes.apple.com/us/app/adobe-digital-editions/id952977781?mt=8
※ 안드로이드 다운로드 : https://play.google.com/store/apps/details?id=com.adobe.digitaleditions
o Adobe Shockwave Player 사용자
- 윈도우즈 환경의 Adobe Shockwave 사용자는 12.3.1.201 버전으로 업데이트 적용
※ 다운로드 : https://get.adobe.com/shockwave/
o Adobe Experience Manager 사용자
- Adobe Experience Manager 사용자는 아래 링크를 참고하여 업데이트 적용
※ Adobe Experience Manager 6.3 버전 : https://helpx.adobe.com/experience-manager/kb/aem63-available-hotfixes.html
※ Adobe Experience Manager 6.2 버전 : https://helpx.adobe.com/experience-manager/kb/aem62-available-hotfixes.html
※ Adobe Experience Manager 6.1 버전 : https://helpx.adobe.com/experience-manager/kb/aem61-available-hotfixes.html
※ Adobe Experience Manager 6.0 버전 : https://helpx.adobe.com/experience-manager/kb/aem60-available-hotfixes.html
□ 용어 정리
o Type Confusion 취약점 : 객체의 인스턴스가 타입을 혼동하여 나는 오류
o Use-After-Free 취약점 : 소프트웨어 구현 시 동적 혹은 정적으로 할당된 메모리를 해제했음에도 불구하고 이를 계속
참조(사용)하여 발생하는 취약점
o XXE(XML External Entity) : :XML 문서에서 동적으로 외부 URI의 리소스를 포함시킬 수 있는 외부 엔티티를 사용하는 것
□ 기타 문의사항
o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
[참고사이트]
[1] https://helpx.adobe.com/security/products/flash-player/apsb17-33.html
[2] https://helpx.adobe.com/security/products/photoshop/apsb17-34.html
[3] https://helpx.adobe.com/security/products/connect/apsb17-35.html
[4] https://helpx.adobe.com/security/products/acrobat/apsb17-36.html
[5] https://helpx.adobe.com/security/products/dng-converter/apsb17-37.html
[6] https://helpx.adobe.com/security/products/indesign/apsb17-38.html
[7] https://helpx.adobe.com/security/products/Digital-Editions/apsb17-39.html
[8] https://helpx.adobe.com/security/products/shockwave/apsb17-40.html
[9] https://helpx.adobe.com/security/products/experience-manager/apsb17-41.html