Microsoft 보안 공지 MS07-018
Microsoft Content Management Server의 취약점으로 인한 원격 코드 실행 문제점 (925939)
버전: 2.0
요약
이 내용을 읽어야 할 사람: Microsoft Content Management Server를 사용하는 고객
취약점으로 인한 영향: 원격 코드 실행
최대 심각도: 긴급
권장 사항: 즉시 업데이트를 적용하십시오.
보안 업데이트 대체: 없음
주의 사항: 이 보안 업데이트를 설치할 때 고객이 겪을 수 있는 현재까지 알려진 문제점은 Microsoft 기술 자료 문서 924429에 나와 있습니다. 이 문서는 이러한 문제점에 대한 권장 해결 방법도 소개합니다. 자세한 내용은 Microsoft 기술 자료 문서 924429를 참조하십시오.
테스트된 소프트웨어 및 보안 업데이트 다운로드 위치:
영향을 받는 소프트웨어:
| • | Microsoft Content Management Server 2001 서비스 팩 1 - 업데이트 다운로드(KB924430) |
| • | Microsoft Content Management Server 2002 서비스 팩 2 - 업데이트 다운로드(KB924429) |
위에 나열된 소프트웨어는 테스트를 거쳐 해당 버전이 영향을 받는지 확인되었습니다. 그 밖의 다른 버전은 더 이상 보안 업데이트가 지원되지 않거나 영향을 받지 않을 수 있습니다. 사용 중인 제품과 버전에 대한 지원 기간을 확인하려면 Microsoft 지원 기간 정책 웹 사이트를 참조하십시오.
일반 정보
요약 |
이 보안 업데이트와 관련된 자주 제기되는 질문 사항 |
취약점 세부 정보 |
CMS 메모리 손상 취약점 - CVE-2007-0938: |
Content Management Server가 특수하게 조작된 HTTP 요청을 처리하는 방식에 원격 코드 실행 취약점이 존재합니다.
이 취약점을 악용한 공격자는 영향을 받는 시스템을 완전히 제어할 수 있습니다. 공격자가 프로그램을 설치하거나 데이터를 보고, 변경하거나 삭제하고 모든 사용자 권한이 있는 새 계정을 만들 수도 있습니다.
CMS 메모리 손상 취약점 - CVE-2007-0938에 대한 완화 요소: |
CMS 메모리 손상 취약점 - CVE-2007-0938에 대한 대안: |
CMS 메모리 손상 취약점 - CVE-2007-0938에 대한 FAQ: |
CMS 취약점의 사이트 간 스크립팅 및 스푸핑 취약점 - CVE-2007-0939: |
공격자가 사용자에게 악성 스크립트를 실행하도록 유인하는 사이트 간 스크립팅 및 스푸핑 취약점이 Microsoft Content Management Server(MCMS)에 존재합니다. 이 악성 스크립트는 사용자의 보안 컨텍스트에서 실행됩니다. 이 취약점을 이용하려면 사용자 조작이 필요합니다. 이 취약점을 통해 공격자는 개인 사용자가 액세스할 수 있는 영향을 받는 시스템의 모든 데이터에 액세스할 수 있습니다.
공격자는 이 취약점을 악용하여 웹 브라우저 캐시 및 중간 프록시 서버 캐시를 수정할 수 있으며 이러한 캐시에 스푸핑된 콘텐츠를 저장할 수도 있습니다.
CMS 취약점의 사이트 간 스크립팅 및 스푸핑 취약점 - CVE-2007-0939에 대한 완화 요소: |
CMS 취약점의 사이트 간 스크립팅 및 스푸핑 취약점 - CVE-2007-0939에 대한 대안: |
CMS 취약점의 사이트 간 스크립팅 및 스푸핑 취약점 - CVE-2007-0939에 대한 FAQ: |
보안 업데이트 정보 |
감사의 말
고객 보호를 위해 협력해 주신 다음 분들께 감사드립니다.
| • | Microsoft Content Management Service의 사이트 간 스크립팅 및 스푸핑 취약점(CVE-2007-0939)을 보고해 주신 Netcraft (영문)의 Martyn Tovey |
기타 보안 관련 업데이트 받기:
기타 보안 문제 관련 업데이트는 다음 사이트에서 받을 수 있습니다.
| • | 보안 업데이트는 Microsoft 다운로드 센터에서 다운로드할 수 있으며 "security_patch"라는 키워드를 사용하여 쉽게 찾을 수 있습니다. |
| • | 각 사용자 플랫폼에 맞는 업데이트는 Microsoft Update 웹 사이트에서 구할 수 있습니다. |
지원:
| • | 기술 지원은 1577-9700을 통해 Microsoft 고객 지원 센터에서 받을 수 있습니다. 보안 업데이트와 관련된 기술 지원 통화는 무료입니다. |
| • | 기타 지역에 거주하는 고객은 해당 Microsoft 지사에서 지원을 받을 수 있습니다. 보안 업데이트와 관련된 기술 지원은 무료입니다. Microsoft 지원 부서에 연락하는 방법에 대한 자세한 내용은 국가별 기술 지원 웹 사이트에 나와 있습니다. |
보안 관련 자료:
| • | Microsoft TechNet Security 웹 사이트에서 Microsoft 제품의 보안에 관한 추가 정보를 제공합니다. |
| • | |
| • | |
| • | |
| • | |
| • | |
| • | |
| • | Windows Update 카탈로그: Windows Update 카탈로그에 대한 자세한 내용은 Microsoft 기술 자료 문서 323166을 참조하십시오. |
| • |
Software Update Services:
관리자는 Microsoft Software Update Services(SUS)를 사용하여 Windows 2000 및 Windows Server 2003 기반 서버 그리고 Windows 2000 Professional 또는 Windows XP Professional을 실행하는 데스크톱 시스템에 최신 중요 업데이트와 보안 업데이트를 신속하고 안전하게 배포할 수 있습니다.
Software Update Services에서 보안 업데이트를 배포하는 방법에 대한 자세한 내용은 Software Update Services 웹 사이트를 참조하십시오.
Windows Server Update Services:
관리자는 WSUS(Windows Server Update Services)를 사용하여 Windows 2000 운영 체제 이상, Office XP 이상 그리고 Windows 2000 이상 운영 체제에 설치된 Exchange Server 2003 및 SQL Server 2000에 중요한 최신 업데이트 및 보안 업데이트를 신속하게 안정적으로 배포할 수 있습니다.
Windows Server Update Services를 사용하여 보안 업데이트를 신속하게 배포하는 방법에 대한 자세한 내용은 Windows Server Update Services 웹 사이트를 방문하십시오.
Systems Management Server:
Microsoft Systems Management Server(SMS)는 기업에서 업데이트 관리를 효율적으로 구성할 수 있는 솔루션입니다. 관리자는 SMS를 사용하여 보안 업데이트가 필요한 Windows 기반 시스템을 식별하고, 사용자의 업무 중단을 최소화하면서 기업 전체에 해당 업데이트를 효율적으로 배포할 수 있습니다. 관리자가 SMS 2003을 사용하여 보안 업데이트를 배포할 수 있는 방법에 대한 자세한 내용은 SMS 2003 보안 패치 관리 웹 사이트를 참조하십시오. SMS 2.0 사용자는 Software Updates Service Feature Pack (영문)을 사용하여 보안 업데이트를 배포할 수도 있습니다. SMS에 대한 자세한 내용은 SMS 웹 사이트를 참조하십시오.
참고 SMS는 Microsoft Baseline Security Analyzer, Microsoft Office Detection Tool 및 Enterprise Update Scanning Tool을 사용하여 보안 공지 업데이트 검색 및 배포를 위한 광범위한 지원을 제공합니다. 일부 소프트웨어 업데이트는 이러한 도구로 검색하지 못할 수도 있습니다. 이러한 경우 관리자는 SMS의 인벤토리 기능을 사용하여 특정 시스템을 대상으로 업데이트를 수행할 수 있습니다. 이 절차에 대한 자세한 내용은 다음 웹 사이트 (영문)를 참조하십시오. 일부 보안 업데이트 작업을 수행하려면 관리자 권한이 필요하며 컴퓨터를 다시 시작해야 할 수 있습니다. 관리자는 SMS 2003 Administration Feature Pack (영문) 및 SMS 2.0 Administration Feature Pack (영문)에서 제공되는 Elevated Rights Deployment Tool을 사용하여 이러한 업데이트를 설치할 수 있습니다.
부인:
Microsoft 기술 자료에서 제공되는 정보는 어떠한 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 상품성 및 특정 목적에의 적합성에 대한 보증을 포함하여 명시적이거나 묵시적인 어떤 보증도 하지 않습니다. Microsoft Corporation 또는 그 공급자는 모든 직접적, 간접적, 부수적, 파생적 손해 또는 영업 이익 손실 또는 특수한 손실에 대하여 어떠한 경우에도 책임을 지지 않으며, 이는 Microsoft Corporation과 그 공급자가 그와 같은 손해의 가능성을 사전에 알고 있던 경우에도 마찬가지입니다. 일부 지역에서는 파생적 또는 부수적 손해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 위 제한은 귀하에게 적용되지 않을 수도 있습니다.
개정판:
| • | V1.0 (2007년 4월 10일): 공지가 게시되었습니다. |
| • | V1.1 (2007년 5월 1일): 공지 업데이트 고객이 이 보안 업데이트를 설치할 때 겪을 수 있는 현재까지 알려진 문제점이 수록된 Microsoft 기술 자료 문서 924429에 주의 사항이 나와 있습니다. |
| • | V2.0 (2007년 6월 12일): 공지가 업데이트되었습니다. 이 공지는 Microsoft 기술 자료 문서 924429에서 설명한 문제점을 해결하기 위해 다시 릴리스되었습니다. |