마이크로소프트(Microsoft) 업체에서 매월 정기적으로 제공하는 2017년 1월 정기 보안 업데이트에서는 Microsoft Windows, Microsoft Edge, Microsoft Office, Microsoft Office Services 및 Web Apps, Adobe Flash Player 제품군에서 발견된 15건의 보안 취약점 문제를 해결한 4개의 보안 패치가 포함되어 있습니다.
■ 2017년 1월 보안 업데이트 핵심 정보
(1) Windows 10 Version 1607 누적 업데이트(KB3213986)
Windows 10 버전 1607 (OS 빌드14393.693) 업데이트에서는 다음과 같은 품질 개선 및 보안 패치가 포함되어 있습니다.
- Improved the reliability of Groove Music playback in the background, App-V, video playback and Remote Desktop.
- Addressed issue where after successful fingerprint authentication on a device with the screen off, the screen does not turn back on.
- Addressed issue where only one input device works when you connect two similar input devices to the same machine.
- Addressed issue in the App-V Connection Group that allows users to have access to pieces of functionality that they were not designated to for access.
- Addressed issue that prevents users from selecting multiple certificates simultaneously through the UI.
- Addressed issue where the Request Control function does not work with Remote Assistance if the user being assisted is on Windows Server 2008 R2 or Windows Server 2012.
- Addressed issue that prevents a smart card module from pairing with a contactless smart card reader.
- Addressed issue with license conversion of Server Core from evaluation version to a retail version.
- Addressed issue that prevents users from opening Internet shortcut (.URL) files with Internet Explorer when Enhanced Protected Mode is enabled.
- Addressed issue that prevents users from logging on if a device has been away from the corporate network over a period of time.
- Addressed additional issues with Microsoft Edge, clustering, Internet Explorer, Windows Update, input devices, facial recognition, Logon, Hyper-V, PCI bus drivers and Windows Kernel.
(2) Windows 10 Version 1511 누적 업데이트(KB3210721)
Windows 10 버전 1511 (OS 빌드 10586.753) 업데이트에서는 다음과 같은 품질 개선 및 보안 패치가 포함되어 있습니다.
- Addressed security issues related to Microsoft Edge.
(3) CVE-2017-0002 : Microsoft Edge 권한 상승 취약성
Microsoft Edge 웹 브라우저가 about:blank를 사용하여 도메인 간 정책을 제대로 적용하지 않는 경우 권한 상승 취약점이 존재하며, 이를 통해 공격자는 한 도메인에서 정보를 액세스하고 다른 도메인에 이 정보를 삽입할 수 있습니다.
해당 공격이 성공적으로 이루어지기 위해서는 공격자는 악의적으로 조작된 웹 사이트에 접속하도록 유도해야하며, 현재 해당 취약점은 공개적으로 보고되었으며 MS17-001 보안 패치를 통해 문제가 해결되었습니다.
■ 2017년 1월 정기 보안 업데이트 세부 정보
(1) MS17-001 : Microsoft Edge용 누적 보안 업데이트(3199709) - 중요
- CVE-2017-0002 : Microsoft Edge 권한 상승 취약성
이 보안 업데이트는 Microsoft Edge의 취약성을 해결합니다. 이 취약성은 사용자가 특수 제작된 웹 페이지를 Microsoft Edge를 사용하여 보는 경우 권한 상승을 허용할 수 있습니다. 이 취약성 악용에 성공한 공격자는 취약한 시스템의 네임스페이스 디렉터리에 대한 관리자 권한을 얻어 상승된 권한을 확보할 수 있습니다.
(2) MS17-002 : Microsoft Office용 보안 업데이트(3214291) - 중요
- CVE-2017-0003 : GDI 정보 유출 취약성
이 보안 업데이트는 Microsoft Office의 취약성을 해결합니다. 사용자가 특수 제작된 Microsoft Office 파일을 열면 이 취약성으로 인해 원격 코드 실행이 허용될 수 있습니다. 이러한 취약성 악용에 성공한 공격자는 현재 사용자의 컨텍스트에서 임의의 코드를 실행할 수 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 계정의 고객은 관리자 권한으로 작업하는 고객보다 영향을 덜 받을 수 있습니다.
(3) MS17-003 : Adobe Flash Player용 보안 업데이트(3214628) - 긴급
- CVE-2017-2925, CVE-2017-2926, CVE-2017-2927, CVE-2017-2928, CVE-2017-2930, CVE-2017-2931, CVE-2017-2932, CVE-2017-2933, CVE-2017-2934, CVE-2017-2935, CVE-2017-2936, CVE-2017-2937
이 보안 업데이트는 Adobe Flash Player 24.0.0.194 버전 업데이트를 통해 Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10, Windows Server 2016에 설치된 Adobe Flash Player의 취약성을 해결합니다.
(4) MS17-004 : 로컬 보안 기관 하위 시스템 서비스의 보안 업데이트(3216771) - 중요
- CVE-2017-0004 : 로컬 보안 기관 하위 시스템 서비스 서비스 거부 취약성
LSASS(로컬 보안 기관 하위 시스템 서비스)에서 인증 요청이 처리되는 방식에 서비스 거부 취약성이 존재합니다. 취약성을 성공적으로 악용한 공격자는 대상 시스템의 LSASS 서비스에서 서비스 거부를 유발해 시스템이 자동으로 다시 부팅하도록 트리거합니다. 이 업데이트는 LSASS가 특수 제작된 인증 요청을 처리하는 방식을 변경하여 취약성을 해결합니다.
그러므로 Windows 운영 체제 및 Microsoft 소프트웨어 제품이 설치된 환경에서는 Windows 업데이트 기능을 통해 제공되는 보안 패치를 반드시 설치하시기 바랍니다.