Microsoft Security Bulletin MS09-061 - 긴급

완화란 취약점의 악용 심각도를 낮출 수 있는 설정, 일반적인 구성 또는 최선책, 기본 상태를 지칭합니다. 다음과 같은 완화 요소가 현재 상황에서 유용할 수 있습니다.

• 악의적이지 않은 Microsoft .NET 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.
• 웹 호스팅 시나리오의 경우 공격자는 웹 사이트에 임의 ASP.NET 페이지를 업로드할 권한이 있고 해당 웹 서버에 ASP.NET이 설치되어 있어야 합니다. 기본 구성에서 익명 사용자는 IIS(인터넷 정보 서비스)에 Microsoft .NET 코드를 업로드하고 실행할 수 없습니다.
• 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 이 모드는 웹 기반 공격 시나리오에서만 이 취약점을 완화합니다. Internet Explorer 보안 강화 구성에 대한 자세한 내용은 이 보안 공지의 FAQ 섹션을 참조하십시오.
• Internet Explorer 8에서는 인터넷 영역에서 Microsoft .NET MIME 필터를 사용하지 않습니다. Internet Explorer 8의 이 기능은 ASLR 및 DEP 보호를 우회하는 알려진 기술을 차단하여 이 취약점을 악용하기 더욱 어렵게 만듭니다. 인터넷 영역에서 Microsoft .NET MIME 필터를 사용하지 않도록 설정하는 것은 Internet Explorer 8에서 이 취약점의 악용을 불가능하게 만드는 것은 아니지만, 악의적인 웹 사이트가 이 취약점을 안정적으로 악용하기가 어려워집니다.
• 웹 검색을 통한 공격의 경우 공격자는 호스팅하는 웹 사이트에 이 취약점을 악용하는 웹 페이지를 포함할 수 있습니다. 또한 사용자가 제공한 콘텐츠나 광고를 허용하거나 호스팅하는 공격 당한 웹 사이트에는 이 취약점을 악용할 수 있는 특수하게 조작된 콘텐츠가 포함되어 있을 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다.
• 취약점 악용에 성공한 공격자는 로컬 사용자 또는 ASP.NET의 사용자 계정과 동일한 권한을 얻을 수 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 사용자 또는 계정은 관리자 권한의 사용자 권한으로 작업하는 사용자 또는 계정에 비해 영향을 덜 받습니다.

대안이란 기본적인 취약점을 수정하지는 않지만 업데이트를 적용하기 전에 알려진 공격 경로를 차단하는 데 유용한 설정 또는 구성 변경을 지칭합니다. Microsoft는 다음과 같은 대안을 테스트했으며, 대안으로 인한 기능 저하 여부를 해당 항목에서 설명합니다.

• 부분적으로 신뢰할 수 있는 Microsoft .NET 응용 프로그램 사용 안 함

  XBAP(XAML 브라우저 응용 프로그램) 및 네트워크에 있는 Microsoft .NET 응용 프로그램을 포함하여 부분 신뢰 상태에서 실행되는 모든 Microsoft .NET 응용 프로그램을 사용하지 않도록 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  참고 이 대안을 완료하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

  대안의 영향. 일부 Microsoft .NET 응용 프로그램이 실행되지 않습니다.

  대안 실행 취소 방법.

  Microsoft .NET 보안 정책을 기본값으로 다시 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –reset
caspol –pp on

  참고 이 대안의 실행을 취소하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

• Internet Explorer에서 XAML 브라우저 응용 프로그램 사용 안 함

  XBAP(XAML 브라우저 응용 프로그램)의 실행 여부를 묻거나 인터넷 및 로컬 인트라넷 보안 영역에서 XBAP를 사용하지 않도록 설정을 변경하면 이 취약점으로부터 시스템을 보호할 수 있습니다.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 인터넷을 클릭한 다음 사용자 지정 수준을 클릭합니다.
  3. 설정의 XAML 사용 완화에서 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. XAML 브라우저 응용 프로그램 및 XPS 문서에 대해 이러한 단계를 반복합니다.
  4. 보안 탭에서 사용자 지정 수준을 클릭하고 .NET Framework 기반 구성 요소에서 Authenticode로 서명되지 않은 구성 요소 실행에 대해 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. Authenticode로 서명된 구성 요소 실행에 대해 이러한 단계를 반복한 다음 확인을 클릭합니다.
  5. 로컬 인트라넷을 클릭한 다음 사용자 지정 수준을 클릭합니다. 3~4단계를 반복합니다. 이러한 설정 변경을 확인하는 대화 상자가 표시되면 예를 클릭합니다. 확인을 클릭하여 Internet Explorer로 돌아갑니다.

  대안의 영향. Microsoft .NET 코드가 Internet Explorer에서 실행되지 않거나 확인 메시지 없이 실행되지 않습니다. 인터넷 및 로컬 인트라넷 보안 영역에서 Microsoft .NET 응용 프로그램 및 구성 요소를 사용하지 않도록 설정하면 일부 웹 사이트가 제대로 작동하지 않을 수 있습니다. 이 설정을 변경한 후에 특정 웹 사이트가 원활하게 작동하지 않는 경우 해당 사이트의 안전을 확신한다면 이 사이트를 신뢰할 수 있는 사이트에 추가할 수 있습니다. 그러면 해당 사이트가 올바르게 작동합니다.

  대안 실행 취소 방법.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 모든 영역을 기본 수준으로 다시 설정을 클릭한 다음 확인을 클릭합니다.

이 취약점을 악용하면 어느 작업까지 가능합니까?  
이 취약점은 현재 로그온된 사용자의 컨텍스트 또는 응용 프로그램 풀 ID와 관련된 서비스 계정의 컨텍스트에서 원격 코드의 실행을 허용합니다.

취약점의 원인은 무엇입니까?  
이 취약점은 Microsoft .NET에서 확인 가능한 코드가 확인되는 방식으로 인해 발생합니다.

CLR이란 무엇입니까?  
Microsoft .NET Framework는 코드를 실행하고 개발 프로세스를 도와주는 서비스를 제공하는 CLR(공용 언어 런타임)이라는 런타임 환경을 제공합니다. CLR에 대한 자세한 내용은 공용 언어 런타임 개요(영문)를 참조하십시오.

XBAP란 무엇입니까?  
XBAP(XAML 브라우저 응용 프로그램)에는 웹 응용 프로그램과 다양한 기능을 갖춘 클라이언트 응용 프로그램의 기능이 통합되어 있습니다. 따라서 웹 응용 프로그램처럼 웹 서버에 게시하고 Internet Explorer에서 시작할 수 있으며, 클라이언트 응용 프로그램처럼 WPF(Windows Presentation Foundation) 기능을 활용할 수 있습니다. XBAP에 대한 자세한 내용은 Windows Presentation Foundation XAML 브라우저 응용 프로그램 개요(영문)를 참조하십시오.

Windows Server 2003 또는 Windows Server 2008에서 Internet Explorer를 실행하고 있습니다. 이 경우 취약점을 예방할 수 있습니까? 
경우에 따라 다릅니다. 웹 탐색 공격 시나리오의 경우, Windows Server 2003 또는 Windows Server 2008에서 Internet Explorer를 실행하면 취약점이 완화되지만, 웹 호스팅 및 .NET 응용 프로그램 공격 시나리오의 경우에는 이러한 플랫폼이 취약점을 완화하지 못합니다. 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 보안 강화 구성은 미리 구성된 Internet Explorer 설정 그룹으로, 사용자나 관리자가 서버에서 특수하게 조작된 웹 콘텐츠를 다운로드하고 실행할 가능성을 줄여 줍니다. Internet Explorer의 신뢰할 수 있는 사이트 영역에 추가되지 않는 웹 사이트에 대한 완화 요소입니다. Internet Explorer 보안 강화 구성 관리 (영문)도 참조하십시오.

공격자는 취약점을 악용하여 무엇을 할 수 있습니까?  
취약점 악용에 성공한 공격자는 현재 로그온한 사용자와 동일한 권한을 얻을 수 있습니다. 사용자가 관리자 권한의 사용자 권한으로 로그온한 경우 공격자가 영향을 받는 시스템을 완전히 제어할 수 있습니다. 이렇게 되면 공격자가 프로그램을 설치할 수 있을 뿐 아니라 데이터를 보거나 변경하거나 삭제할 수 있고 모든 사용자 권한이 있는 새 계정을 만들 수도 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 계정의 사용자는 관리자 권한으로 작업하는 사용자에 비해 영향을 적게 받습니다.

웹 호스팅 시나리오의 경우, 이 취약점을 성공적으로 악용한 공격자는 Microsoft .NET 응용 프로그램이 실행 중인 응용 프로그램 풀의 응용 프로그램 풀 ID와 연관된 서비스 계정과 동일한 권한을 얻을 수 있습니다. 응용 프로그램 풀 격리 구성 및 서비스 계정에 부여된 권한에 따라 공격자는 웹 서버의 다른 응용 프로그램 풀을 제어하거나 영향을 받는 시스템을 완전히 제어할 수 있습니다. 응용 프로그램 풀 ID 및 구성에 대한 자세한 내용은 응용 프로그램 풀 ID 구성(영문)을 참조하십시오.

공격자는 이러한 취약점을 어떻게 악용합니까?  
이 취약점을 악용할 수 있는 시나리오에는 웹 탐색 시나리오, 웹 호스팅 시나리오 및 Microsoft .NET Framework 응용 프로그램 시나리오의 세 가지가 있습니다. 아래에는 이러한 시나리오에 대한 자세한 설명이 나와 있습니다.

• 웹 탐색 시나리오
  공격자는 이 취약점을 악용할 수 있는 특수하게 조작한 XBAP(XAML 브라우저 응용 프로그램)가 포함된 특수하게 조작한 웹 사이트를 호스팅하고 사용자가 웹 사이트를 보도록 유도할 수 있습니다. 공격자는 사용자가 제공한 콘텐츠가 광고를 허용하거나 호스팅하는 웹 사이트와 공격에 노출된 웹 사이트를 이용할 수도 있습니다. 이러한 웹 사이트에 이 취약점을 악용하는 특수하게 조작된 콘텐츠가 포함될 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다. 배너 광고에서 특수하게 조작된 웹 콘텐츠를 표시하거나 웹 콘텐츠를 전달하는 다른 방법을 사용하여 영향을 받는 시스템에 대한 공격을 시도할 수도 있습니다.
• 웹 호스팅 시나리오
  웹 호스팅 환경에서 사용자의 사용자 지정 ASP.NET 응용 프로그램 업로드를 허용하는 경우, 공격자는 악의적인 ASP.NET 응용 프로그램을 업로드하여 이 취약점을 통해 ASP.NET 코드가 서버 시스템에서 유해한 작업을 수행하지 못하도록 하는 데 사용되는 샌드박스를 우회할 수 있습니다.
• Microsoft .NET Framework 응용 프로그램 시나리오
  공격자는 네트워크 공유에 악의적인 Microsoft .NET Framework 응용 프로그램을 두고 해당 네트워크의 사용자가 이 응용 프로그램을 실행하도록 유도할 수 있습니다.

취약점으로 인해 주로 공격 받을 위험이 있는 시스템은 무엇입니까?  
웹 탐색 시나리오를 사용하는 시스템과 웹 호스팅 시나리오를 사용하는 시스템의 두 가지가 이 취약점의 공격을 받을 위험이 있습니다.

• 웹 탐색 시나리오
  이 취약점을 성공적으로 악용하려면 사용자가 로그인하여 XBAP를 인스턴스화할 수 있는 웹 브라우저를 통해 웹 사이트를 방문해야 합니다. 따라서 워크스테이션 또는 터미널 서버와 같이 웹 브라우저를 빈번하게 사용하는 시스템은 이 취약점을 이용하는 공격을 받을 위험이 가장 큽니다. 사용자가 서버에서 인터넷을 탐색하고 전자 메일을 읽을 수 있도록 관리자가 허용할 경우 서버가 더 위험할 수 있습니다. 가장 좋은 방법은 이러한 기능을 허용하지 않는 것입니다.
• 웹 호스팅 시나리오
  사용자가 사용자 지정 ASP.NET 응용 프로그램을 업로드할 수 있는 웹 호스팅 사이트는 매우 위험합니다.

Microsoft .NET 응용 프로그램을 작성했습니다. 이 응용 프로그램을 다시 컴파일해야 합니까?  
악의적이지 않은 Microsoft .NET 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없으므로 다시 컴파일할 필요가 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.

업데이트는 어떤 기능을 수행합니까?  
이 업데이트는 Microsoft .NET Framework가 확인 가능한 코드의 규칙을 확인하고 적용하는 방식을 수정합니다.

이 보안 공지를 게시했을 때 이 취약점이 공개되어 있었습니까?  
아니요. Microsoft는 신뢰할 수 있는 정보 공개를 통해 이 취약점 관련 정보를 입수하였습니다.

이 보안 공지를 게시했을 때 Microsoft는 이 취약점이 악용되었다는 보고를 받았습니까?  
아니요. Microsoft는 이 취약점이 공개적으로 고객을 공격하는 데 사용되었다는 정보를 받지 못했으며, 이 보안 공지를 처음에 게시했을 때 개념 증명 코드의 예제를 보지 못했습니다.

완화란 취약점의 악용 심각도를 낮출 수 있는 설정, 일반적인 구성 또는 최선책, 기본 상태를 지칭합니다. 다음과 같은 완화 요소가 현재 상황에서 유용할 수 있습니다.

• 악의적이지 않은 Microsoft .NET 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.
• 웹 호스팅 시나리오의 경우 공격자는 웹 사이트에 임의 ASP.NET 페이지를 업로드할 권한이 있고 해당 웹 서버에 ASP.NET이 설치되어 있어야 합니다. 기본 구성에서 익명 사용자는 IIS(인터넷 정보 서비스)에 Microsoft .NET 코드를 업로드하고 실행할 수 없습니다.
• 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 이 모드는 웹 기반 공격 시나리오에서만 이 취약점을 완화합니다. Internet Explorer 보안 강화 구성에 대한 자세한 내용은 이 보안 공지의 FAQ 섹션을 참조하십시오.
• Internet Explorer 8에서는 인터넷 영역에서 Microsoft .NET MIME 필터를 사용하지 않습니다. Internet Explorer 8의 이 기능은 ASLR 및 DEP 보호를 우회하는 알려진 기술을 차단하여 이 취약점을 악용하기 더욱 어렵게 만듭니다. 인터넷 영역에서 Microsoft .NET MIME 필터를 사용하지 않도록 설정하는 것은 Internet Explorer 8에서 이 취약점의 악용을 불가능하게 만드는 것은 아니지만, 악의적인 웹 사이트가 이 취약점을 안정적으로 악용하기가 어려워집니다.
• 웹을 통한 공격의 경우 공격자는 호스팅하는 웹 사이트에 이 취약점을 악용하는 웹 페이지를 포함할 수 있습니다. 또한 사용자가 제공한 콘텐츠나 광고를 허용하거나 호스팅하는 공격 당한 웹 사이트에는 이 취약점을 악용할 수 있는 특수하게 조작된 콘텐츠가 포함되어 있을 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다.
• 취약점 악용에 성공한 공격자는 로컬 사용자 또는 ASP.NET의 사용자 계정과 동일한 권한을 얻을 수 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 사용자 또는 계정은 관리자 권한의 사용자 권한으로 작업하는 사용자 또는 계정에 비해 영향을 덜 받습니다.

대안이란 기본적인 취약점을 수정하지는 않지만 업데이트를 적용하기 전에 알려진 공격 경로를 차단하는 데 유용한 설정 또는 구성 변경을 지칭합니다. Microsoft는 다음과 같은 대안을 테스트했으며, 대안으로 인한 기능 저하 여부를 해당 항목에서 설명합니다.

• 부분적으로 신뢰할 수 있는 Microsoft .NET 응용 프로그램 사용 안 함

  XBAP(XAML 브라우저 응용 프로그램) 및 네트워크에 있는 Microsoft .NET 응용 프로그램을 포함하여 부분 신뢰 상태에서 실행되는 모든 Microsoft .NET 응용 프로그램을 사용하지 않도록 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  참고 이 대안을 완료하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

  대안의 영향. 일부 Microsoft .NET 응용 프로그램이 실행되지 않습니다.

  대안 실행 취소 방법.

  Microsoft .NET 보안 정책을 기본값으로 다시 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –reset
caspol –pp on

  참고 이 대안의 실행을 취소하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

• Internet Explorer에서 XAML 브라우저 응용 프로그램 사용 안 함

  XBAP(XAML 브라우저 응용 프로그램)의 실행 여부를 묻거나 인터넷 및 로컬 인트라넷 보안 영역에서 XBAP를 사용하지 않도록 설정을 변경하면 이 취약점으로부터 시스템을 보호할 수 있습니다.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 인터넷을 클릭한 다음 사용자 지정 수준을 클릭합니다.
  3. 설정의 XAML 사용 완화에서 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. XAML 브라우저 응용 프로그램 및 XPS 문서에 대해 이러한 단계를 반복합니다.
  4. 보안 탭에서 사용자 지정 수준을 클릭하고 .NET Framework 기반 구성 요소에서 Authenticode로 서명되지 않은 구성 요소 실행에 대해 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. Authenticode로 서명된 구성 요소 실행에 대해 이러한 단계를 반복한 다음 확인을 클릭합니다.
  5. 로컬 인트라넷을 클릭한 다음 사용자 지정 수준을 클릭합니다. 3~4단계를 반복합니다. 이러한 설정 변경을 확인하는 대화 상자가 표시되면 예를 클릭합니다. 확인을 클릭하여 Internet Explorer로 돌아갑니다.

  대안의 영향. Microsoft .NET 코드가 Internet Explorer에서 실행되지 않거나 확인 메시지 없이 실행되지 않습니다. 인터넷 및 로컬 인트라넷 보안 영역에서 Microsoft .NET 응용 프로그램 및 구성 요소를 사용하지 않도록 설정하면 일부 웹 사이트가 제대로 작동하지 않을 수 있습니다. 이 설정을 변경한 후에 특정 웹 사이트가 원활하게 작동하지 않는 경우 해당 사이트의 안전을 확신한다면 이 사이트를 신뢰할 수 있는 사이트에 추가할 수 있습니다. 그러면 해당 사이트가 올바르게 작동합니다.

  대안 실행 취소 방법.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 모든 영역을 기본 수준으로 다시 설정을 클릭한 다음 확인을 클릭합니다.

이 취약점을 악용하면 어느 작업까지 가능합니까?  
이 취약점은 현재 로그온된 사용자의 컨텍스트 또는 응용 프로그램 풀 ID와 관련된 서비스 계정의 컨텍스트에서 원격 코드의 실행을 허용합니다.

취약점의 원인은 무엇입니까?  
이 취약점은 Microsoft .NET에서 확인 가능한 코드가 확인되는 방식으로 인해 발생합니다.

CLR이란 무엇입니까?  
Microsoft .NET Framework는 코드를 실행하고 개발 프로세스를 도와주는 서비스를 제공하는 CLR(공용 언어 런타임)이라는 런타임 환경을 제공합니다. CLR에 대한 자세한 내용은 공용 언어 런타임 개요(영문)를 참조하십시오.

XBAP란 무엇입니까?  
XBAP(XAML 브라우저 응용 프로그램)에는 웹 응용 프로그램과 다양한 기능을 갖춘 클라이언트 응용 프로그램의 기능이 통합되어 있습니다. 따라서 웹 응용 프로그램처럼 웹 서버에 게시하고 Internet Explorer에서 시작할 수 있으며, 클라이언트 응용 프로그램처럼 WPF(Windows Presentation Foundation) 기능을 활용할 수 있습니다. XBAP에 대한 자세한 내용은 Windows Presentation Foundation XAML 브라우저 응용 프로그램 개요(영문)를 참조하십시오.

Windows Server 2003 또는 Windows Server 2008에서 Internet Explorer를 실행하고 있습니다. 이 경우 취약점을 예방할 수 있습니까? 
경우에 따라 다릅니다. 웹 탐색 공격 시나리오의 경우, Windows Server 2003 또는 Windows Server 2008에서 Internet Explorer를 실행하면 취약점이 완화되지만, 웹 호스팅 및 Microsoft .NET 응용 프로그램 공격 시나리오의 경우에는 이러한 플랫폼이 취약점을 완화하지 못합니다. 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 보안 강화 구성은 미리 구성된 Internet Explorer 설정 그룹으로, 사용자나 관리자가 서버에서 특수하게 조작된 웹 콘텐츠를 다운로드하고 실행할 가능성을 줄여 줍니다. Internet Explorer의 신뢰할 수 있는 사이트 영역에 추가되지 않는 웹 사이트에 대한 완화 요소입니다. Internet Explorer 보안 강화 구성 관리 (영문)도 참조하십시오.

공격자는 취약점을 악용하여 무엇을 할 수 있습니까?  
취약점 악용에 성공한 공격자는 현재 로그온한 사용자와 동일한 권한을 얻을 수 있습니다. 사용자가 관리자 권한의 사용자 권한으로 로그온한 경우 공격자가 영향을 받는 시스템을 완전히 제어할 수 있습니다. 이렇게 되면 공격자가 프로그램을 설치할 수 있을 뿐 아니라 데이터를 보거나 변경하거나 삭제할 수 있고 모든 사용자 권한이 있는 새 계정을 만들 수도 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 계정의 사용자는 관리자 권한으로 작업하는 사용자에 비해 영향을 적게 받습니다.

웹 호스팅 시나리오의 경우, 이 취약점을 성공적으로 악용한 공격자는 Microsoft .NET 응용 프로그램이 실행 중인 응용 프로그램 풀의 응용 프로그램 풀 ID와 연관된 서비스 계정과 동일한 권한을 얻을 수 있습니다. 응용 프로그램 풀 격리 구성 및 서비스 계정에 부여된 권한에 따라 공격자는 웹 서버의 다른 응용 프로그램 풀을 제어하거나 영향을 받는 시스템을 완전히 제어할 수 있습니다. 응용 프로그램 풀 ID 및 구성에 대한 자세한 내용은 응용 프로그램 풀 ID 구성(영문)을 참조하십시오.

공격자는 이러한 취약점을 어떻게 악용합니까?  
이 취약점을 악용할 수 있는 시나리오에는 웹 탐색 시나리오, 웹 호스팅 시나리오 및 Microsoft .NET Framework 응용 프로그램 시나리오의 세 가지가 있습니다. 아래에는 이러한 시나리오에 대한 자세한 설명이 나와 있습니다.

• 웹 탐색 시나리오
  공격자는 이 취약점을 악용할 수 있는 특수하게 조작한 XBAP(XAML 브라우저 응용 프로그램)가 포함된 특수하게 조작한 웹 사이트를 호스팅하고 사용자가 웹 사이트를 보도록 유도할 수 있습니다. 공격자는 사용자가 제공한 콘텐츠가 광고를 허용하거나 호스팅하는 웹 사이트와 공격에 노출된 웹 사이트를 이용할 수도 있습니다. 이러한 웹 사이트에 이 취약점을 악용하는 특수하게 조작된 콘텐츠가 포함될 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다. 배너 광고에서 특수하게 조작된 웹 콘텐츠를 표시하거나 웹 콘텐츠를 전달하는 다른 방법을 사용하여 영향을 받는 시스템에 대한 공격을 시도할 수도 있습니다.
• 웹 호스팅 시나리오
  웹 호스팅 환경에서 사용자의 사용자 지정 ASP.NET 응용 프로그램 업로드를 허용하는 경우, 공격자는 악의적인 ASP.NET 응용 프로그램을 업로드하여 이 취약점을 통해 ASP.NET 코드가 서버 시스템에서 유해한 작업을 수행하지 못하도록 하는 데 사용되는 샌드박스를 우회할 수 있습니다.
• Microsoft .NET Framework 응용 프로그램 시나리오
  공격자는 네트워크 공유에 악의적인 Microsoft .NET Framework 응용 프로그램을 두고 해당 네트워크의 사용자가 이 응용 프로그램을 실행하도록 유도할 수 있습니다.

취약점으로 인해 주로 공격 받을 위험이 있는 시스템은 무엇입니까?  
웹 탐색 시나리오를 사용하는 시스템과 웹 호스팅 시나리오를 사용하는 시스템의 두 가지가 이 취약점의 공격을 받을 위험이 있습니다.

• 웹 탐색 시나리오
  이 취약점을 성공적으로 악용하려면 사용자가 로그인하여 XBAP를 인스턴스화할 수 있는 웹 브라우저를 통해 웹 사이트를 방문해야 합니다. 따라서 워크스테이션 또는 터미널 서버와 같이 웹 브라우저를 빈번하게 사용하는 시스템은 이 취약점을 이용하는 공격을 받을 위험이 가장 큽니다. 사용자가 서버에서 인터넷을 탐색하고 전자 메일을 읽을 수 있도록 관리자가 허용할 경우 서버가 더 위험할 수 있습니다. 가장 좋은 방법은 이러한 기능을 허용하지 않는 것입니다.
• 웹 호스팅 시나리오
  사용자가 사용자 지정 ASP.NET 응용 프로그램을 업로드할 수 있는 웹 호스팅 사이트는 매우 위험합니다.

Microsoft .NET 응용 프로그램을 작성했습니다. 이 응용 프로그램을 다시 컴파일해야 합니까?  
악의적이지 않은 Microsoft .NET 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없으므로 다시 컴파일할 필요가 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.

업데이트는 어떤 기능을 수행합니까?  
이 업데이트는 Microsoft .NET Framework가 확인 가능한 코드의 규칙을 확인하고 적용하는 방식을 수정합니다.

이 보안 공지를 게시했을 때 이 취약점이 공개되어 있었습니까?  
아니요. Microsoft는 신뢰할 수 있는 정보 공개를 통해 이 취약점 관련 정보를 입수하였습니다.

이 보안 공지를 게시했을 때 Microsoft는 이 취약점이 악용되었다는 보고를 받았습니까?  
아니요. Microsoft는 이 취약점이 공개적으로 고객을 공격하는 데 사용되었다는 정보를 받지 못했으며, 이 보안 공지를 처음에 게시했을 때 개념 증명 코드의 예제를 보지 못했습니다.

완화란 취약점의 악용 심각도를 낮출 수 있는 설정, 일반적인 구성 또는 최선책, 기본 상태를 지칭합니다. 다음과 같은 완화 요소가 현재 상황에서 유용할 수 있습니다.

• 최신 버전의 Microsoft Silverlight, 즉 Silverlight 3은 이 취약점의 영향을 받지 않습니다. 기본적으로 Silverlight는 Microsoft 웹 사이트에서 주기적으로 업데이트를 확인하여 최신 기능 및 향상된 기능을 제공합니다. 따라서 새로운 버전이 출시되면 사용자의 컴퓨터에 다운로드 및 설치됩니다. 대부분의 시스템에는 이미 Silverlight 3 버전이 실행되고 있습니다. 자세한 내용은 Microsoft Silverlight Updater를 참조하십시오
• 악의적이지 않은 Microsoft .NET 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.
• 웹 호스팅 시나리오의 경우 공격자는 웹 사이트에 임의 ASP.NET 페이지를 업로드할 권한이 있고 해당 웹 서버에 ASP.NET이 설치되어 있어야 합니다. 기본 구성에서 익명 사용자는 IIS(인터넷 정보 서비스)에 Microsoft .NET 코드를 업로드하고 실행할 수 없습니다.
• 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 이 모드는 웹 기반 공격 시나리오에서만 이 취약점을 완화합니다. Internet Explorer 보안 강화 구성에 대한 자세한 내용은 이 보안 공지의 FAQ 섹션을 참조하십시오.
• Internet Explorer 8에서는 인터넷 영역에서 Microsoft .NET MIME 필터를 사용하지 않습니다. Internet Explorer 8의 이 기능은 ASLR 및 DEP 보호를 우회하는 알려진 기술을 차단하여 Internet Explorer 8에서 이 취약점을 악용하기 더욱 어렵게 만듭니다. 이렇게 하면 Internet Explorer 8에서 이 취약점의 악용을 불가능하게 만드는 것은 아니지만, 악의적인 웹 사이트가 이 취약점을 안정적으로 악용하기가 어려워집니다.
• 웹을 통한 공격의 경우 공격자는 호스팅하는 웹 사이트에 이 취약점을 악용하는 웹 페이지를 포함할 수 있습니다. 또한 사용자가 제공한 콘텐츠나 광고를 허용하거나 호스팅하는 공격 당한 웹 사이트에는 이 취약점을 악용할 수 있는 특수하게 조작된 콘텐츠가 포함되어 있을 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다.
• 취약점 악용에 성공한 공격자는 로컬 사용자 또는 ASP.NET의 사용자 계정과 동일한 권한을 얻을 수 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 사용자 또는 계정은 관리자 권한의 사용자 권한으로 작업하는 사용자 또는 계정에 비해 영향을 덜 받습니다.

대안이란 기본적인 취약점을 수정하지는 않지만 업데이트를 적용하기 전에 알려진 공격 경로를 차단하는 데 유용한 설정 또는 구성 변경을 지칭합니다. Microsoft는 다음과 같은 대안을 테스트했으며, 대안으로 인한 기능 저하 여부를 해당 항목에서 설명합니다.

• 부분적으로 신뢰할 수 있는 Microsoft .NET 응용 프로그램 사용 안 함

  XBAP 및 네트워크에 있는 Microsoft .NET 응용 프로그램을 포함하여 부분 신뢰 상태에서 실행되는 모든 Microsoft .NET 응용 프로그램을 사용하지 않도록 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  참고 이 대안을 완료하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

  대안의 영향. 일부 Microsoft .NET 응용 프로그램이 실행되지 않습니다.

  대안 실행 취소 방법.

  Microsoft .NET 보안 정책을 기본값으로 다시 설정하려면 상승된 권한의 명령 프롬프트에서 다음 명령을 실행합니다.

  caspol –pp off
caspol –m –reset
caspol –pp on

  참고 이 대안의 실행을 취소하려면 관리자로 로그인하거나 관리 자격 증명이 있어야 합니다.

• Internet Explorer에서 XAML 브라우저 응용 프로그램 사용 안 함

  XAML 브라우저 응용 프로그램의 실행 여부를 사용자에게 묻도록 하거나 인터넷 및 로컬 인트라넷 보안 영역에서 XAML 브라우저 응용 프로그램을 사용하지 않도록 설정을 변경하면 이 취약점으로부터 시스템을 보호할 수 있습니다.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 인터넷을 클릭한 다음 사용자 지정 수준을 클릭합니다.
  3. 설정의 XAML 사용 완화에서 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. XAML 브라우저 응용 프로그램 및 XPS 문서에 대해 이러한 단계를 반복합니다.
  4. 보안 탭에서 사용자 지정 수준을 클릭하고 .NET Framework 기반 구성 요소에서 Authenticode로 서명되지 않은 구성 요소 실행에 대해 확인 또는 사용 안 함을 클릭한 다음 확인을 클릭합니다. Authenticode로 서명된 구성 요소 실행에 대해 이러한 단계를 반복한 다음 확인을 클릭합니다.
  5. 로컬 인트라넷을 클릭한 다음 사용자 지정 수준을 클릭합니다. 3~4단계를 반복합니다. 이러한 설정 변경을 확인하는 대화 상자가 표시되면 예를 클릭합니다. 확인을 클릭하여 Internet Explorer로 돌아갑니다.

  대안의 영향. Microsoft .NET 코드가 Internet Explorer에서 실행되지 않거나 확인 메시지 없이 실행되지 않습니다. 인터넷 및 로컬 인트라넷 보안 영역에서 Microsoft .NET 응용 프로그램 및 구성 요소를 사용하지 않도록 설정하면 일부 웹 사이트가 제대로 작동하지 않을 수 있습니다. 이 설정을 변경한 후에 특정 웹 사이트가 원활하게 작동하지 않는 경우 해당 사이트의 안전을 확신한다면 이 사이트를 신뢰할 수 있는 사이트에 추가할 수 있습니다. 그러면 해당 사이트가 올바르게 작동합니다.

  대안 실행 취소 방법.

  1. 도구 메뉴를 클릭한 다음 인터넷 옵션을 선택합니다.
  2. 보안 탭에서 모든 영역을 기본 수준으로 다시 설정을 클릭한 다음 확인을 클릭합니다.
• Windows XP 서비스 팩 2 이상의 Internet Explorer에서 Microsoft Silverlight ActiveX 컨트롤을 실행하지 않도록 임시로 설정

  Internet Explorer에서 Silverlight ActiveX 컨트롤을 실행하지 않도록 임시로 설정하면 이러한 취약점으로부터 보호할 수 있습니다. Internet Explorer 추가 기능 관리를 사용하여 ActiveX 컨트롤을 사용하지 않도록 설정할 수 있습니다.

  1. 도구 메뉴를 클릭한 다음 추가 기능 관리를 선택합니다.
  2. Microsoft Silverlight를 선택합니다.
  3. 사용 안 함을 클릭한 다음 확인을 클릭합니다.

  참고 이 ActiveX 컨트롤을 찾을 수 없으면 드롭다운 상자를 사용하여 "Internet Explorer에서 사용하는 추가 기능"을 "현재 Internet Explorer에서 로드한 추가 기능"으로 전환하거나 "현재 로드한 추가 기능"에서 "모든 추가 기능"으로 전환한 다음 2단계와 3단계를 수행하십시오. 이 목록에 ActiveX 컨트롤이 없으면 이전에 ActiveX 컨트롤을 사용한 적이 없거나 시스템에 설치되어 있지 않은 것입니다.

  참고 이 대안은 Silverlight가 이미 설치되어 있는 시스템에만 해당됩니다. 따라서 Silverlight가 설치되어 있지 않은 시스템에서는 사용할 수 없습니다.

  Windows XP 서비스 팩 2의 Internet Explorer 추가 기능 관리 기능에 대한 자세한 내용은 Microsoft 기술 자료 문서 883256을 참조하십시오.

  대안의 영향. Microsoft Silverlight ActiveX 컨트롤을 사용하는 응용 프로그램 및 웹 사이트가 더 이상 제대로 작동하지 않을 수 있습니다. 이 대안을 구현하면 시스템에 설치한 모든 Silverlight ActiveX 컨트롤이 영향을 받을 수 있습니다.

  대안 실행 취소 방법.

  1. 도구 메뉴를 클릭한 다음 추가 기능 관리를 선택합니다.
  2. Microsoft Silverlight 에서 사용을 클릭한 다음 확인을 클릭합니다.
• Internet Explorer에서 Microsoft Silverlight ActiveX 컨트롤을 사용하지 않도록 임시로 설정

  컨트롤에 대해 킬(Kill) 비트를 설정하여 Internet Explorer에서 Silverlight ActiveX 컨트롤을 인스턴스화하지 않도록 임시로 설정하면 이러한 취약점으로부터 보호할 수 있습니다.

  경고 레지스트리 편집기를 잘못 사용하면 운영 체제를 다시 설치해야 할 만큼 심각한 문제가 발생할 수 있습니다. Microsoft는 레지스트리 편집기를 잘못 사용하여 발생하는 문제에 대한 해결 여부를 보장하지 않습니다. 레지스트리 편집기의 사용에 따른 모든 책임은 사용자에게 있습니다.

  레지스트리를 편집하기 전에 백업해 두는 것이 좋습니다.

  Internet Explorer에서 Silverlight ActiveX 컨트롤이 인스턴스화하는 것을 임시로 방지하는 .reg 파일을 만들려면 다음 텍스트를 사용하십시오. 다음 텍스트를 복사하여 메모장 같은 텍스트 편집기에 붙여 넣은 다음 파일을 .reg 파일 확장명으로 저장할 수 있습니다. 취약한 클라이언트에서 .reg 파일을 실행합니다.

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{DFEAF541-F3E1-4C24-ACAC-99C30715084A}]

  변경 사항을 적용하려면 Internet Explorer를 닫은 후 다시 엽니다.

  Internet Explorer에서 컨트롤이 실행되지 않도록 설정하는 자세한 절차는 Microsoft 기술 자료 문서 240797을 참조하십시오. 이 절차에 따라 레지스트리에 Compatibility Flags 값을 만들어 Silverlight ActiveX 개체가 Internet Explorer에서 실행되는 것을 방지하십시오.

  대안의 영향. Microsoft Silverlight ActiveX 컨트롤을 사용하는 응용 프로그램 및 웹 사이트가 더 이상 제대로 작동하지 않을 수 있습니다. 이 대안을 구현하면 시스템에 설치한 모든 Silverlight ActiveX 컨트롤이 영향을 받을 수 있습니다.

  대안 실행 취소 방법. Internet Explorer에서 Silverlight ActiveX 컨트롤이 인스턴스화하는 것을 임시로 방지하기 위해 추가한 레지스트리 키를 제거합니다.

이 취약점을 악용하면 어느 작업까지 가능합니까?  
이 취약점은 현재 로그온된 사용자의 컨텍스트 또는 응용 프로그램 풀 ID와 관련된 서비스 계정의 컨텍스트에서 원격 코드의 실행을 허용합니다.

취약점의 원인은 무엇입니까?  
이 취약점은 Microsoft .NET CLR(공용 언어 런타임)이 인터페이스를 처리하는 방식을 수정합니다.

CLR이란 무엇입니까?  
Microsoft .NET Framework는 코드를 실행하고 개발 프로세스를 도와주는 서비스를 제공하는 CLR(공용 언어 런타임)이라는 런타임 환경을 제공합니다. CLR에 대한 자세한 내용은 공용 언어 런타임 개요(영문)를 참조하십시오.

XBAP란 무엇입니까?  
XBAP(XAML 브라우저 응용 프로그램)에는 웹 응용 프로그램과 다양한 기능을 갖춘 클라이언트 응용 프로그램의 기능이 통합되어 있습니다. 따라서 웹 응용 프로그램처럼 웹 서버에 게시하고 Internet Explorer에서 시작할 수 있으며, 클라이언트 응용 프로그램처럼 WPF(Windows Presentation Foundation) 기능을 활용할 수 있습니다. XBAP에 대한 자세한 내용은 Windows Presentation Foundation XAML 브라우저 응용 프로그램 개요(영문)를 참조하십시오.

Silverlight란 무엇입니까?  
Microsoft Silverlight는 웹에 대한 미디어 환경 및 풍부한 대화형 응용 프로그램을 구축하기 위해 브라우저 및 플랫폼 간에 구현되는 Microsoft .NET Framework입니다. 자세한 내용은 Silverlight 공식 사이트를 참조하십시오.

공격자는 취약점을 악용하여 무엇을 할 수 있습니까?  
취약점 악용에 성공한 공격자는 현재 로그온한 사용자와 동일한 권한을 얻을 수 있습니다. 사용자가 관리자 권한의 사용자 권한으로 로그온한 경우 공격자가 영향을 받는 시스템을 완전히 제어할 수 있습니다. 이렇게 되면 공격자가 프로그램을 설치할 수 있을 뿐 아니라 데이터를 보거나 변경하거나 삭제할 수 있고 모든 사용자 권한이 있는 새 계정을 만들 수도 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 계정의 사용자는 관리자 권한으로 작업하는 사용자에 비해 영향을 적게 받습니다.

웹 호스팅 시나리오의 경우, 이 취약점을 성공적으로 악용한 공격자는 Microsoft .NET 응용 프로그램이 실행 중인 응용 프로그램 풀의 응용 프로그램 풀 ID와 연관된 서비스 계정과 동일한 권한을 얻을 수 있습니다. 응용 프로그램 풀 격리 구성 및 서비스 계정에 부여된 권한에 따라 공격자는 웹 서버의 다른 응용 프로그램 풀을 제어하거나 영향을 받는 시스템을 완전히 제어할 수 있습니다. 응용 프로그램 풀 ID 및 구성에 대한 자세한 내용은 응용 프로그램 풀 ID 구성(영문)을 참조하십시오.

공격자는 이러한 취약점을 어떻게 악용합니까?  
이 취약점을 악용할 수 있는 시나리오에는 웹 탐색 시나리오, 웹 호스팅 시나리오 및 Microsoft .NET Framework 응용 프로그램 시나리오의 세 가지가 있습니다. 아래에는 이러한 시나리오에 대한 자세한 설명이 나와 있습니다.

• 웹 탐색 시나리오
  공격자는 이 취약점을 악용할 수 있는 특수하게 조작한 XBAP(XAML 브라우저 응용 프로그램) 또는 Silverlight 응용 프로그램이 포함된 특수하게 조작한 웹 사이트를 호스팅하고 사용자가 웹 사이트를 보도록 유도할 수 있습니다. 공격자는 사용자가 제공한 콘텐츠가 광고를 허용하거나 호스팅하는 웹 사이트와 공격에 노출된 웹 사이트를 이용할 수도 있습니다. 이러한 웹 사이트에 이 취약점을 악용하는 특수하게 조작된 콘텐츠가 포함될 수 있습니다. 그러나 어떠한 경우에도 공격자는 강제로 사용자가 이러한 웹 사이트를 방문하도록 만들 수 없습니다. 대신 공격자는 사용자가 전자 메일 메시지 또는 메신저 메시지의 링크를 클릭하여 공격자의 웹 사이트를 방문하도록 유도하는 것이 일반적입니다. 배너 광고에서 특수하게 조작된 웹 콘텐츠를 표시하거나 웹 콘텐츠를 전달하는 다른 방법을 사용하여 영향을 받는 시스템에 대한 공격을 시도할 수도 있습니다.
• 웹 호스팅 시나리오
  웹 호스팅 환경에서 사용자의 사용자 지정 ASP.NET 응용 프로그램 업로드를 허용하는 경우, 공격자는 악의적인 ASP.NET 응용 프로그램을 업로드하여 이 취약점을 통해 ASP.NET 코드가 서버 시스템에서 유해한 작업을 수행하지 못하도록 하는 데 사용되는 샌드박스를 우회할 수 있습니다.
• Microsoft .NET Framework 응용 프로그램 시나리오
  공격자는 네트워크 공유에 악의적인 Microsoft .NET Framework 응용 프로그램을 두고 해당 네트워크의 사용자가 이 응용 프로그램을 실행하도록 유도할 수 있습니다.

취약점으로 인해 주로 공격 받을 위험이 있는 시스템은 무엇입니까?  
웹 탐색 시나리오를 사용하는 시스템과 웹 호스팅 시나리오를 사용하는 시스템의 두 가지가 이 취약점의 공격을 받을 위험이 있습니다.

• 웹 탐색 시나리오
  이 취약점을 성공적으로 악용하려면 사용자가 로그인하여 XBAP 또는 Silverlight 응용 프로그램을 인스턴스화할 수 있는 웹 브라우저를 통해 웹 사이트를 방문해야 합니다. 따라서 워크스테이션 또는 터미널 서버와 같이 웹 브라우저를 빈번하게 사용하는 시스템은 이 취약점을 이용하는 공격을 받을 위험이 가장 큽니다. 사용자가 서버에서 인터넷을 탐색하고 전자 메일을 읽을 수 있도록 관리자가 허용할 경우 서버가 더 위험할 수 있습니다. 가장 좋은 방법은 이러한 기능을 허용하지 않는 것입니다.
• 웹 호스팅 시나리오
  사용자가 사용자 지정 ASP.NET 응용 프로그램을 업로드할 수 있는 웹 호스팅 사이트는 매우 위험합니다.

Windows Server 2003 또는 Windows Server 2008에서 Internet Explorer를 실행하고 있습니다. 이 경우 취약점을 예방할 수 있습니까? 
경우에 따라 다릅니다. 웹 탐색 공격 시나리오의 경우, Windows Server 2003 및 Windows Server 2008에서 Internet Explorer를 실행하면 취약점이 완화되지만, 웹 호스팅 및 Microsoft .NET 응용 프로그램 공격 시나리오의 경우에는 이러한 플랫폼이 취약점을 완화하지 못합니다. 기본적으로 Windows Server 2003 및 Windows Server 2008의 Internet Explorer는 보안 강화 구성 (영문)으로 알려진 제한된 모드로 실행됩니다. 보안 강화 구성은 미리 구성된 Internet Explorer 설정 그룹으로, 사용자나 관리자가 서버에서 특수하게 조작된 웹 콘텐츠를 다운로드하고 실행할 가능성을 줄여 줍니다. Internet Explorer의 신뢰할 수 있는 사이트 영역에 추가되지 않는 웹 사이트에 대한 완화 요소입니다. Internet Explorer 보안 강화 구성 관리 (영문)도 참조하십시오.

Microsoft .NET 응용 프로그램 또는 Silverlight 응용 프로그램을 작성했습니다. 이 응용 프로그램을 다시 컴파일해야 합니까?  
악의적이지 않은 Microsoft .NET 응용 프로그램 및 Silverlight 응용 프로그램은 이 취약점으로 인해 공격을 받을 위험이 없으므로 다시 컴파일할 필요가 없습니다. 악의적인 방식으로 특수하게 만들어진 응용 프로그램만 이 취약점을 악용할 수 있습니다.

업데이트는 어떤 기능을 수행합니까?  
이 업데이트는 Microsoft .NET CLR이 인터페이스를 처리하는 방식을 수정합니다.

이 보안 공지를 게시했을 때 이 취약점이 공개되어 있었습니까?  
예. 이 취약점은 공개되었습니다. 이 취약점에는 CVE(Common Vulnerability and Exposure) 번호 CVE-2009-2497 (영문)이 지정되었습니다.

이 보안 공지를 게시했을 때 Microsoft는 이 취약점이 악용되었다는 보고를 받았습니까?  
아니요. Microsoft는 이 취약점이 공개적으로 고객을 공격하는 데 사용되었다는 정보를 받지 못했으며, 이 보안 공지를 처음에 게시했을 때 개념 증명 코드의 예제를 보지 못했습니다.

참조 표

다음 표에는 이 소프트웨어에 대한 보안 업데이트 정보가 포함되어 있습니다. 추가 정보는 이 섹션의 배포 정보에서 찾아 볼 수 있습니다.

참조 표

다음 표에는 이 소프트웨어에 대한 보안 업데이트 정보가 포함되어 있습니다. 추가 정보는 이 섹션의 배포 정보에서 찾아 볼 수 있습니다.

참고 지원되는 Windows XP Professional x64 Edition 버전의 경우 이 보안 업데이트는 지원되는 Windows Server 2003 x64 Edition 버전의 보안 업데이트와 같습니다.

참조 표

다음 표에는 이 소프트웨어에 대한 보안 업데이트 정보가 포함되어 있습니다. 추가 정보는 이 섹션의 배포 정보에서 찾아 볼 수 있습니다.

참조 표

다음 표에는 이 소프트웨어에 대한 보안 업데이트 정보가 포함되어 있습니다. 추가 정보는 이 섹션의 배포 정보에서 찾아 볼 수 있습니다.

참조 표

다음 표에는 이 소프트웨어에 대한 보안 업데이트 정보가 포함되어 있습니다. 추가 정보는 이 섹션의 배포 정보에서 찾아 볼 수 있습니다.