CVE 데이터베이스CVE-2015-1130

최종 갱신 2026-06-17English Advisory →

CVE-2015-11307.8/HIGHCISA KEV 등재CWE-59CWE-59

Apple OS X Admin Framework XPC 인증 우회 및 로컬 권한 상승 취약점 (CVE-2015-1130)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

apple

대상 컴포넌트 / 패키지

mac_os_x

권고문 발행일

2015-04-10

CVSS v3.1

7.8

HIGH

30일 악용확률

9.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

OS X 10.10.3 미만 버전이 설치된 Apple Mac 시스템

파급 효과

로컬 권한을 가진 일반 사용자가 인증 과정을 완전히 우회하고 루트(root) 관리자 권한을 획득할 수 있습니다

권장 조치

OS X 시스템을 10.10.3 이상 버전으로 즉시 업데이트하거나 최신 보안 패치를 적용하십시오

영향받는 제품 및 버전 범위

Apple OS X 10.10.3 미만 버전 전체 (OS X Yosemite 10.10.2 이하 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 OS X 시스템을 최신 버전(10.10.3 이상)으로 업데이트하는 것입니다. 터미널에서 아래 명령어를 실행하여 소프트웨어 업데이트를 확인하고 적용하십시오.

bash

# 사용 가능한 시스템 업데이트 목록 확인
softwareupdate -l

# 모든 권장 업데이트 다운로드 및 설치
sudo softwareupdate -i -a

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 환경에서는 다중 사용자 환경에서 일반 사용자의 로컬 터미널 접근 및 SSH 접근을 제한하여 공격 표면을 최소화해야 합니다.

bash

# 원격 로그인(SSH) 서비스 비활성화
sudo systemsetup -setremotelogin off

# 특정 관리자 그룹 외의 일반 사용자에 대한 sudo 권한 제한 확인
sudo cat /etc/sudoers | grep -v '^#'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템의 OS X 버전을 확인하고, Admin Framework 관련 비정상적인 XPC 통신이나 권한 상승 시도 로그를 점검하는 스크립트입니다.

bash

# OS X 시스템 버전 확인
sw_vers

# 시스템 로그에서 Admin Framework 및 XPC 관련 비정상 오류/경고 메시지 필터링
log show --predicate 'process == "systempreferences" or sender == "Admin"' --info | grep -i 'error'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 악용된 이력이 있으므로, 영향받는 OS X 시스템을 즉시 10.10.3 이상 버전으로 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Apple OS X의 Admin Framework 내 XPC(Cross-Process Communication) 구현 결함으로 인해 발생합니다. Admin Framework는 시스템 관리 작업을 수행하기 위해 권한이 부여된 헬퍼 도구와 통신하는 과정에서 XPC 인터페이스를 사용합니다. 그러나 특정 API 호출 시 호출자의 권한을 검증하는 로직이 미흡하여, 로컬의 일반 사용자가 특권 프로세스에 직접 조작된 XPC 메시지를 전송함으로써 인증 없이 관리자 권한의 작업을 수행할 수 있는 상태가 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 시스템에 일반 사용자 계정으로 로그인한 상태에서, Admin Framework가 제공하는 writeSystemAdministrationFiles 등과 같은 내부 XPC 서비스 인터페이스를 직접 호출합니다. 정상적인 상황이라면 시스템 환경설정(System Preferences) 등 인증된 프로세스만 이 인터페이스에 접근해야 하지만, 취약한 버전에서는 호출 프로세스의 서명이나 권한(Entitlements)을 엄격하게 검증하지 않습니다. 공격자는 이를 악용하여 임의의 시스템 파일을 덮어쓰거나, 권한 상승용 바이너리를 실행하도록 유도하여 최종적으로 루트 권한을 획득합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 악용된 이력이 있는 고위험 취약점입니다. 로컬 권한 상승(LPE) 취약점은 단독으로도 위험하지만, 피싱 메일이나 웹 브라우저 취약점(RCE)과 결합될 경우 외부 공격자가 대상 시스템의 완전한 제어권을 장악하는 2차 피해로 이어집니다. 기업 환경 내 개발자 단말이나 업무용 Mac이 장악될 경우, 내부망 침투 및 소스 코드 유출 등 심각한 비즈니스 자산 손실을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The XPC implementation in Admin Framework in Apple OS X before 10.10.3 allows local users to bypass authentication and obtain admin privileges via unspecified vectors.

http://lists.apple.com/archives/security-announce/2015/Apr/msg00001.html

출처: product-security@apple.com · Broken Link, Mailing List, Vendor Advisory

http://www.osvdb.org/120418

출처: product-security@apple.com · Broken Link

http://www.securityfocus.com/bid/73982

출처: product-security@apple.com · Broken Link, Exploit, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1032048

출처: product-security@apple.com · Broken Link, Third Party Advisory, VDB Entry

https://support.apple.com/HT204659

출처: product-security@apple.com · Vendor Advisory

https://www.exploit-db.com/exploits/36692/

출처: product-security@apple.com · Exploit, Third Party Advisory, VDB Entry