Microsoft 보안 게시판 MS16-155 - 중요

.NET Framework용 보안 업데이트(3205640)

게시 날짜: 2016년 12월 13일 | 업데이트: 2017년 2월 23일

버전: 2.1

요약

이 보안 업데이트는 Microsoft .NET 4.6.2 Framework의 SQL Server용 데이터 공급자의 취약성을 해결합니다. Microsoft .NET Framework 4.6.2에는 공격자가 Always Encrypted 기능으로 보호되는 정보에 액세스할 수 있는 보안 취약성이 있습니다.

이 보안 업데이트는 Microsoft .NET Framework 4.6.2에 중요합니다. 자세한 내용은 영향을 받는 소프트웨어 및 취약성 심각도 등급 섹션을 참조하세요.

보안 업데이트는 .NET Framework에서 개발자가 제공한 키를 처리하는 방식을 수정하여 취약성을 해결하므로 데이터를 적절하게 방어합니다.

자세한 내용은 영향을 받는 소프트웨어 및 취약성 심각도 등급 섹션을 참조하세요.

이 업데이트 에 대한 자세한 내용은 Microsoft 기술 자료 문서 3205640 참조하세요.

영향을 받는 소프트웨어 및 취약성 심각도 등급

영향을 받는 소프트웨어 버전 또는 버전은 다음과 같습니다. 나열되지 않은 버전 또는 버전은 지원 수명 주기를 지나거나 영향을 받지 않습니다. 소프트웨어 버전 또는 버전에 대한 지원 수명 주기를 확인하려면 Microsoft 지원 수명 주기를 참조하세요.

영향을 받는 각 소프트웨어에 대해 표시된 심각도 등급은 취약성의 잠재적 최대 영향을 가정합니다. 이 보안 공지가 릴리스된 후 30일 이내에 심각도 등급 및 보안 영향과 관련하여 취약성의 악용 가능성에 대한 자세한 내용은 12월 게시판 요약악용 가능성 지수를 참조하세요.

참고: 보안 업데이트 정보를 사용하는 새로운 방법은 보안 업데이트 가이드를 참조하세요. 보기를 사용자 지정하고 영향을 받는 소프트웨어 스프레드시트를 만들 수 있으며, 나머지 API를 통해 데이터를 다운로드할 수 있습니다. 자세한 내용은 보안 업데이트 가이드 FAQ를 참조하세요. 참고로 보안 업데이트 가이드는 2017년 2월부터 보안 게시판을 대체합니다. 자세한 내용은 블로그 게시물을 참조하여 보안 업데이트에 대한 노력을 강화하세요.

Microsoft .NET Framework - 보안 전용 릴리스[1]

운영 체제 구성 요소 .NET 정보 공개 취약성 - CVE-2016-7270 업데이트 바꾸기
Windows 7 및 Windows Server 2008 R2 Microsoft .NET Framework 업데이트 for 4.6.2(KB3205406)[2]
Windows 7
32비트 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6.2 (3204805) 중요 정보 공개 None
x64 기반 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6.2 (3204805) 중요 정보 공개 None
Windows Server 2008 R2
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 4.6.2 (3204805) 중요 정보 공개 None
Windows Server 2012 Microsoft .NET Framework 업데이트 for 4.6.2(KB3205407)[2]
Windows Server 2012 Microsoft .NET Framework 4.6.2 (3204801) 중요 정보 공개 None
Windows 8.1 및 Windows Server 2012 R2 Microsoft .NET Framework 업데이트 for 4.6.2(KB3205410)[2]
Windows 8.1
32비트 시스템용 Windows 8.1 Microsoft .NET Framework 4.6.2 (3204802) 중요 정보 공개 None
x64 기반 시스템용 Windows 8.1 Microsoft .NET Framework 4.6.2 (3204802) 중요 정보 공개 None
Windows 2012 R2
Windows Server 2012 R2 Microsoft .NET Framework 4.6.2 (3204802) 중요 정보 공개 None
Windows 10
32비트 시스템용 Windows 10 버전 1607[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
x64 기반 시스템용 Windows 10 버전 1607[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
x64 기반 시스템용 Windows Server 2016[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
Server Core 설치 옵션
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2(Server Core 설치) Microsoft .NET Framework 4.6.2 (3204805) 중요 정보 공개 None
Windows Server 2012(Server Core 설치) Microsoft .NET Framework 4.6.2 (3204801) 중요 정보 공개 None
Windows Server 2012 R2(Server Core 설치) Microsoft .NET Framework 4.6.2 (3204802) 중요 정보 공개 None
x64 기반 시스템 용 Windows Server 2016(Server Core 설치)[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970

[1]2016년 10월 릴리스부터 Microsoft는 Microsoft .NET Framework에 대한 업데이트 서비스 모델을 변경했습니다. 자세한 내용은 이 Microsoft .NET 블로그 게시물을 참조하세요.

[2]이 번호는 부모 패키지 KB 번호입니다. 사용자에게 부모 KB가 제공됩니다. 그러나 각 플랫폼에 대해 나열된 패키지 KB 번호는 프로그램 제거 추가에 표시됩니다.

[3]Windows 10 업데이트는 누적됩니다. 월간 보안 릴리스에는 비보안 업데이트 외에도 Windows 10에 영향을 주는 취약성에 대한 모든 보안 수정 사항이 포함되어 있습니다. 업데이트는 Microsoft 업데이트 카탈로그통해 사용할 수 있습니다. 2016년 12월 13일부터 누적 업데이트 대한 Windows 10 및 Windows Server 2016 세부 정보는 릴리스 정보에서 설명합니다. OS 빌드 번호, 알려진 문제 및 영향을 받는 파일 목록 정보에 대한 릴리스 정보를 참조하세요.

참고 이 공지에서 설명하는 취약성은 Windows Server 2016 Technical Preview 5에 영향을 줍니다. Windows 업데이트 통해 Windows Server 2016 Technical Preview 5에 업데이트를 사용할 수 있지만, 고객은 가장 빠른 편의를 위해 Windows Server 2016으로 업그레이드하는 것이 좋습니다.

Microsoft .NET Framework - 월별 롤업 릴리스[1]

운영 체제 구성 요소 .NET 정보 공개 취약성 - CVE-2016-7270 업데이트 바꾸기
Windows Vista 및 Windows Server 2008 Microsoft .NET Framework 업데이트 2.0, 4.5.2, 4.6(KB3210142)[2]
Windows Vista
32비트 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 2.0 서비스 팩 2 (3210129) 해당 없음[4] MS16-120 3163244 MS16-091의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 2.0 서비스 팩 2 (3210129) 해당 없음[4] MS16-120 3163244 MS16-091의 3188744
32비트 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] MS16-120의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] MS16-120의 3188744
32비트 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 4.6 (3210136) 해당 없음[4] MS16-120의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Vista Microsoft .NET Framework 4.6 (3210136) 해당 없음[4] MS16-120의 3188744
Windows Server 2008
32비트 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 2.0 서비스 팩 2 (3210129) 해당 없음[4] MS16-120 3163244 MS16-091의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 2.0 서비스 팩 2 (3210129) 해당 없음[4] MS16-120 3163244 MS16-091의 3188744
Itanium 기반 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 2.0 서비스 팩 2 (3210129) 해당 없음[4] MS16-120 3163244 MS16-091의 3188744
32비트 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] MS16-120의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] MS16-120의 3188744
32비트 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 4.6 (3210136) 해당 없음[4] MS16-120의 3188744
x64 기반 시스템 서비스 팩 2용 Windows Server 2008 Microsoft .NET Framework 4.6 (3210136) 해당 없음[4] MS16-120의 3188744
Windows 7 및 Windows Server 2008 R2 Microsoft .NET Framework 업데이트 3.5.1, 4.5.2, 4.6,4.6.1, 4.6.2(KB3205402)[2]
Windows 7
32비트 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 3.5.1 (3210131) 해당 없음[4] None
x64 기반 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 3.5.1 (3210131) 해당 없음[4] None
32비트 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
32비트 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6/4.6.1 (3210136) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6/4.6.1 (3210136) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
32비트 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6.2 (3205379) 중요 정보 공개 None
x64 기반 시스템 서비스 팩 1용 Windows 7 Microsoft .NET Framework 4.6.2 (3205379) 중요 정보 공개 None
Windows Server 2008 R2
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 3.5.1 (3210131) 해당 없음[4] None
Itanium 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 3.5.1 (3210131) 해당 없음[4] None
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 4.5.2 (3210139) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 4.6/4.6.1 (3210136) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2 Microsoft .NET Framework 4.6.2 (3205379) 중요 정보 공개 None
Windows Server 2012 Microsoft .NET Framework 업데이트 for 3.5, 4.5.2, 4.6,4.6.1, 4.6.2(KB3205403)[2]
Windows Server 2012 Microsoft .NET Framework 3.5 (3210130) 해당 없음[4] None
Windows Server 2012 Microsoft .NET Framework 4.5.2 (3210138) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 Microsoft .NET Framework 4.6/4.6.1 (3210133) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 Microsoft .NET Framework 4.6.2 (3205377) 중요 정보 공개 None
Windows 8.1 및 Windows Server 2012 R2 Microsoft .NET Framework 업데이트 for 3.5, 4.5.2, 4.6,4.6.1, 4.6.2(KB3205404)[2]
Windows 8.1
32비트 시스템용 Windows 8.1 Microsoft .NET Framework 3.5 (3210132) 해당 없음[4] None
x64 기반 시스템용 Windows 8.1 Microsoft .NET Framework 3.5 (3210132) 해당 없음[4] None
32비트 시스템용 Windows 8.1 Microsoft .NET Framework 4.5.2 (3210137) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템용 Windows 8.1 Microsoft .NET Framework 4.5.2 (3210137) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
32비트 시스템용 Windows 8.1 Microsoft .NET Framework 4.6/4.6.1 (3210135) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템용 Windows 8.1 Microsoft .NET Framework 4.6/4.6.1 (3210135) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
32비트 시스템용 Windows 8.1 Microsoft .NET Framework 4.6.2 (3205378) 중요 정보 공개 None
x64 기반 시스템용 Windows 8.1 Microsoft .NET Framework 4.6.2 (3205378) 중요 정보 공개 None
Windows 8.1 RT
Windows 8.1 RT Microsoft .NET Framework 4.5.2 (3210137) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows 8.1 RT Microsoft .NET Framework 4.6/4.6.1 (3210135) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows 8.1 RT Microsoft .NET Framework 4.6.2 (3205378) 중요 정보 공개 None
Windows 2012 R2
Windows Server 2012 R2 Microsoft .NET Framework 3.5 (3210132) 해당 없음[4] None
Windows Server 2012 R2 Microsoft .NET Framework 4.5.2 (3210137) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 R2 Microsoft .NET Framework 4.6/4.6.1 (3210135) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 R2 Microsoft .NET Framework 4.6.2 (3205378) 중요 정보 공개 None
Windows 10
32비트 시스템용 Windows 10 버전 1607[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
x64 기반 시스템용 Windows 10 버전 1607[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
x64 기반 시스템용 Windows Server 2016[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970
Server Core 설치 옵션
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2(Server Core 설치) Microsoft .NET Framework 3.5.1 (3210131) 해당 없음[4] None
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2(Server Core 설치) Microsoft .NET Framework 4.6/4.6.1 (3210136) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
x64 기반 시스템 서비스 팩 1용 Windows Server 2008 R2(Server Core 설치) Microsoft .NET Framework 4.6.2 (3205379) 중요 정보 공개 None
Windows Server 2012(Server Core 설치) Microsoft .NET Framework 3.5 (3210130) 해당 없음[4] None
Windows Server 2012(Server Core 설치) Microsoft .NET Framework 4.5.2 (3210138) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012(Server Core 설치) Microsoft .NET Framework 4.6/4.6.1 (3210133) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012(Server Core 설치) Microsoft .NET Framework 4.6.2 (3205377) 중요 정보 공개 None
Windows Server 2012 R2(Server Core 설치) Microsoft .NET Framework 3.5 (3210132) 해당 없음[4] None
Windows Server 2012 R2(Server Core 설치) Microsoft .NET Framework 4.5.2 (3210137) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 R2(Server Core 설치) Microsoft .NET Framework 4.6/4.6.1 (3210135) 해당 없음[4] 이전에 릴리스된 모든 업데이트[4]
Windows Server 2012 R2(Server Core 설치) Microsoft .NET Framework 4.6.2 (3205378) 중요 정보 공개 None
x64 기반 시스템 용 Windows Server 2016(Server Core 설치)[3](3206632) Microsoft .NET Framework 4.6.2 중요 정보 공개 3200970

[1]2016년 10월 릴리스부터 Microsoft는 Microsoft .NET Framework에 대한 업데이트 서비스 모델을 변경했습니다. 자세한 내용은 이 Microsoft .NET 블로그 게시물을 참조하세요.

[2] 이 번호는 부모 패키지 KB 번호입니다. 사용자에게 부모 KB가 제공됩니다. 그러나 각 플랫폼에 대해 나열된 패키지 KB 번호는 프로그램 제거 추가에 표시됩니다.

[3]Windows 10 업데이트는 누적됩니다. 월간 보안 릴리스에는 비보안 업데이트 외에도 Windows 10에 영향을 주는 취약성에 대한 모든 보안 수정 사항이 포함되어 있습니다. 업데이트는 Microsoft 업데이트 카탈로그통해 사용할 수 있습니다. 2016년 12월 13일부터 누적 업데이트 대한 Windows 10 및 Windows Server 2016 세부 정보는 릴리스 정보에서 설명합니다. OS 빌드 번호, 알려진 문제 및 영향을 받는 파일 목록 정보에 대한 릴리스 정보를 참조하세요.

[4] Microsoft .NET Framework 2.0, 4.5.2 및 4.6/4.6.1은 롤업 패치이며 이전 업데이트와 이번 달 업데이트를 모두 포함합니다. 자세한 내용은 이 페이지를 참조하세요.

참고 이 공지에서 설명하는 취약성은 Windows Server 2016 Technical Preview 5에 영향을 줍니다. 업데이트는 Windows 업데이트 통해 Windows Server 2016 Technical Preview 5에 사용할 수 있습니다. 취약성으로부터 보호하려면 Windows Server 2016 Technical Preview 5를 실행하는 고객이 Windows Server 2016으로 업그레이드하는 것이 좋습니다.

취약성 정보

.NET Framework 정보 공개 Vulnerabiltiy - CVE-2016-7270

Microsoft .NET 4.6.2 Framework의 SQL Server용 데이터 공급자에는 공격자가 Always Encrypted 기능으로 방어해야 하는 정보에 액세스할 수 있는 정보 공개 취약성이 있습니다. .NET Framework에서 개발자가 제공한 키를 잘못 사용하는 경우 취약성이 발생합니다. 이 키가 오용되면 데이터에 대한 액세스가 일시적으로 손실될 수도 있습니다.

취약성을 악용하기 위해 잘못 암호화된 데이터에 액세스할 수 있는 공격자는 쉽게 추측할 수 있는 키를 사용하여 데이터의 암호를 해독하려고 시도할 수 있습니다.

보안 업데이트는 .NET Framework에서 개발자가 제공한 키를 처리하는 방식을 수정하여 취약성을 해결하므로 데이터를 적절하게 방어합니다.

다음 표에는 일반 취약성 및 노출 목록의 취약성에 대한 표준 항목에 대한 링크가 포함되어 있습니다.

취약성 제목 CVE 번호 공개됨 악용
.NET Framework 정보 공개 Vulnerabiltiy CVE-2016-7270 아니요

요소 완화

Microsoft는 이 취약성에 대한 완화 요인을 확인하지 않았습니다.

해결 방법

다음 해결 방법은 상황에 도움이 될 수 있습니다.

CEK(열 키 암호화)는 Sql커넥트ion을 설정하여 해제할 수 있습니다. .Net Framework 4.6.2 드라이버에서 TimeSpan.Zero에 대한 ColumnEncryptionKeyCacheTtl 속성입니다. 자세한 내용은 TimeSpan.Zero 필드를 참조하세요.

보안 업데이트 배포

보안 업데이트 배포 정보는 요약에서 참조하는 Microsoft 기술 자료 문서를 참조하세요.

승인

Microsoft는 조정된 취약성 공개를 통해 고객을 보호하는 데 도움이 되는 보안 커뮤니티의 노력을 인식하고 있습니다. 자세한 내용은 승인을 참조하세요.

부인

Microsoft 기술 자료에 제공된 정보는 어떠한 종류의 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 특정 목적에 대한 상품성 및 적합성에 대한 보증을 포함하여 명시적이거나 묵시적인 모든 보증을 부인합니다. 어떠한 경우에도 Microsoft Corporation 또는 해당 공급업체는 Microsoft Corporation 또는 공급업체가 이러한 손해의 가능성을 통보한 경우에도 직접, 간접, 부수적, 결과적, 비즈니스 이익 손실 또는 특별 손해를 포함한 모든 손해에 대해 책임을 지지 않습니다. 일부 주에서는 결과적 또는 부수적 손해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 앞에서 설명한 제한이 적용되지 않을 수 있습니다.

수정 내용

  • V1.0(2016년 12월 13일) 공지가 게시되었습니다.

  • V1.1(2016년 12월 19일): 다음 수정 사항으로 수정된 공지:

    • Microsoft .NET Framework 2.0, 3.5, 3.5.1, 4.5.2, 4.6 및 4.6.1에 적용되는 Microsoft .NET 보안 및 품질 롤업 업데이트의 취약성 심각도 등급이 해당되지 않음으로 변경되었습니다. 이러한 버전의 .NET Framework는 이 공지에 설명된 취약성의 영향을 받지 않기 때문입니다.
    • 보안 전용 릴리스에 대해 지원되지 않으므로 Windows RT가 보안 전용 릴리스에 영향을 받는 소프트웨어 테이블에서 제거되었습니다.
    • 업데이트 3188736 대체된 업데이트로 제거하여 월별 롤업 릴리스 영향을 받는 소프트웨어 테이블에서 업데이트 3210142 대한 업데이트 대체된 항목을 수정했습니다.
  • V2.0(2016년 12월 19일): 보안 및 품질 롤업 업데이트 3210142 및 3205402 이와 이전에 릴리스된 10월 보안 전용 업데이트 3188736 및 3188730 간의 대체 관계를 제거하는 WSUS 고객에 대한 검색 변경으로 다시 릴리스되었음을 알리기 위해 공지를 수정했습니다. 검색 변경 내용입니다. 업데이트 파일에는 변경 내용이 없습니다. 이러한 업데이트를 이미 성공적으로 설치한 고객은 아무 작업도 수행할 필요가 없습니다. 자세한 내용은 해당 업데이트에 대한 Microsoft 기술 자료 문서를 참조하세요.

     

또한 업데이트 3210142 Itanium 기반 시스템 서비스 팩 2용 Windows Server 2008에서 사용할 수 있으며, 해당 업데이트 3205402 Itanium 기반 시스템 서비스 팩 1용 Windows Server 2008 R2에서 사용할 수 있음을 알리기 위해 공지를 수정했습니다. 고객은 이 공지에서 설명하는 취약성으로부터 보호하기 위해 적용 가능한 업데이트를 적용해야 합니다. 대부분의 고객은 자동 업데이트를 사용하도록 설정했으며 업데이트가 자동으로 다운로드되고 설치되므로 아무 작업도 수행할 필요가 없습니다.

  • V2.1(2017년 2월 23일): 월별 롤업 릴리스 KB3205403 및 월별 롤업 릴리스 KB3205404 검색 논리 변경을 발표하도록 공지를 수정했습니다. 이는 정보 변경에만 해당합니다. 시스템을 이미 성공적으로 업데이트한 고객은 어떠한 조치도 취할 필요가 없습니다.

페이지 생성 2017-02-23 12:54-08:00.