작성자 : 김태훈 책임컨설턴트

A3AID-0604


A3 Security Consulting Security Alert

MS Windows Service ACLs(Access Control List) 로컬 권한 상승 취약점 분석

권고문 작성 일: 2006. 02. 14

취약점 발표 날: 2006. 02. 06

위험 등급:

벤더: Microsoft

대상 시스템:

MS HTML HELP WORKSHOP 4.74.8702.0
 

취약점 개요:


2006년 2월 6일, Microsoft HTML HELP WORKSHOP 프로그램에서 HTML HELP 프로젝트 파일(*.hhp )을 처리시 스택 버퍼 오버플로우 취약점이 존재하는 것으로 확인되었다. 이 취약점으로 악성 쉘 코드 실행이 가능하며 트로이 목마의 설치 및 원격 연결이 가능한 것으로 확인되었다. 0-day 취약점으로MS에서 HOT-FIX를 제공하기 전에 웹 사이트 업로드 및 메일 첨부 파일 형식으로 악성 프로젝트 파일(*.hhp)이 전파될 수 있으며, 현재 권고안을 작성하는 2월 13일까지 상기 취약점에 대한 패치가 나오지 않은 상태로 알려지지 않은 프로젝트 파일(*.hhp)에 대한 많은 주의가 요구된다.


취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

 

위험 분석:


상기 취약점을 이용한 실제 동작하는 공격 코드가 이미 공개된 상태이므로, 이를 응용한
많은 해킹 피해가 예상된다. 신뢰할 수 없는 웹 사이트 페이지 및 게시판에 업로드 된 확인되지 않은 HTML HELP 프로젝트 파일 그리고 메일 첨부 파일 형태로 배포되고 있기 때문에 확인되지 않은 HTML HELP 프로젝트 파일은 열람해서는 안 된다.




대응 방안:


본 취약점에 대한 MS에서의 HOT-FIX는 발표되지 않았으며, 대부분의Anti-Virus 업체에서도 패턴 업데이트가 이루어지지 않았으므로 다음과 같은 임시 대응책을 사용하길 권고한다.
임시 대응 책으로 MS HTML HELP WORKSHOP 응용 프로그램은 운영체제 기본 프로그램이 아니기 때문에 MS에서 HOT-FIX를 발표하기 전까지 HTML HELP 프로젝트 파일(*.hhp)에 대한 기본 연결 프로그램을 해제하고 MS HTML HELP WORKSHOP 응용프로그램이 필요하지 않을 경우에는 제거하길 바란다.

Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer
※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.

신고
작성자 : 이현정 컨설턴트

A3AID-0603

A3 Security Consulting Security Alert

MS Windows Service ACLs(Access Control List) 로컬 권한 상승 취약점 분석

권고문 작성 일: 2006. 02. 10

취약점 발표 날: 2006. 02. 02

위험 등급: 중간 (로컬 권한 상승)

벤더: Microsoft

대상 시스템:

Microsoft Windows XP 64-bit Edition
Microsoft Windows XP 64-bit Edition SP1
Microsoft Windows XP 64-bit Edition
Microsoft Windows XP 64-bit Edition Version 2003
Microsoft Windows XP 64-bit Edition Version 2003 SP1
Microsoft Windows XP 64-bit Edition Version 2003
Microsoft Windows XP Home
Microsoft Windows XP Home SP1
Microsoft Windows XP Home
Microsoft Windows XP Home SP2
Microsoft Windows XP Home
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Media Center Edition SP1
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Media Center Edition SP2
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Professional
Microsoft Windows XP Professional SP1
Microsoft Windows XP Professional
Microsoft Windows XP Professional SP2
Microsoft Windows XP Professional
Microsoft Windows XP Professional x64 Edition

취약점 개요:

Microsoft Windows 에서 발견된 이 취약점은 일반 사용자가 로컬 시스템 권한으로 특정 프로그램을 실행할 수 있는 권한 상승 취약점이다. 이 결함은 불안전한 Default Access Control로 인해, "Authenticated Users" 그룹에 속한 유저가 Microsoft Windows에서 ACL의 영향을 받지 않는 서비스 설정 배열을 수정하는 권한이 주어지는 문제 때문에 발생한다.

이와 같이 서비스 설정 변경이 가능하여 로컬 시스템에 대한 권한 상승 취약점이 발생한다. 이 취약점을 악용하면 로컬에서 공격자(일반유저)가 "Local System" 권한으로 임의의 바이너리(웜, 백도어)를 실행할 수 있게 된다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

위험 분석:

본 취약점을 이용해, 공격자는 악의의 프로그램을 로컬 시스템 권한에서 실행 시킬 수 있다. 프로그램의 원래 경로를 공격자 임의로 변경하여 악성 프로그램을 로컬 시스템 권한에서 실행 시, 공격자는 윈도우 보안 정책을 무력화 시킬 수 있고, 시스템 다운은 물론 악의적으로 시스템 권한을 획득할 수 있게 된다.

대응 방안:

이 취약점은 MS에서 아직 공식적인 패치가 나오지 않은 0day취약점이기 때문에 적지 않은 피해가 예상된다. 중 장기적인 보안 대책은, 관리자 및 사용자들은 아래 내용에 따라 사전예방에 주의해야 한다.

1. 신뢰할 수 있는 사용자에게만 로컬 액세스를 허가한다. 가능한 제한된 환경과 쉘을 사용한다.
2. 이 취약점을 공격하기 위해서는 로컬 대화형 액세스가 요구된다. 그러므로 신뢰할 수 있는 사용자에게만 로컬 대화형 액세스를 허가한다.
3. 레지스트리 파일에 대한 읽기, 쓰기 및 실행 권한을 다시 검토한다.
4. 레지스트리 엔트리에 대한 사용 권한을 감사하여 악성 사용자가 이 취약점을 공격하는 것을 방지한다.


관련 사이트:
http://www.frsirt.com/english/advisories/2006/0417
http://www.cs.princeton.edu/~sudhakar/papers/winval.pdf
http://www.microsoft.com/technet/security/advisory/914457.mspx

Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.


신고
작성자 : 최진욱 선임 컨설턴트

A3AID-0602

A3 Security Consulting Security Alert

Oracle 로그인 접근통제 취약점

권고문 작성 일: 2006. 02. 10

취약점 발표 날: 2006. 01. 18

위험 등급:

벤더: Oracle


대상 시스템:

Oracle Database Version 8.1.7.x.x
Oracle Database Version 9.2.0.7
Oracle Database Version 10.1.0.4.2
Oracle Database Version 10.1.0.5
Oracle Database Version 10.2.0.1.0


취약점 개요:

Oracle에서는 클라이언트와 서버간 통신하는 과정 중 SQLPlus를 통해 DBMS(서버) 접속 시 인증 단계에서 SYS 권한으로 실행되는 유효한 SQL 구문이 포함되어 있다. 이러한 유효한 SQL 구문은 공격자에 의해 임의의 공격 SQL 구문으로 교체 조작됨으로써 서버에서 일반계정의 Oracle 유저가 SYS 권한으로 공격SQL 구문이 실행할 수 있는 취약점이 발표 되었다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)


위험 분석:


위 취약점은 실제 로컬 네트워크에서 일반사용자의 권한이 있다는 가정하에 취약점이 될 수 있다. 하지만 대부분의 DBMS(서버)에서 Default 사용자가 Enable 되어 있으므로 로컬 네트워크에서 권한이 없는 임의의 사용자가 공격을 통해 DBA 권한을 가질 수 있다.
또한 직접적으로 공격을 수행할 수는 없지만 취약한 로컬네트워크의 한 서버가 외부에서 뚫렸을 경우 외부에서 직접적으로 공격 하는 것과 같은 위험성을 내포하고 있다.

대응 방안:


Oracle은 이 취약점에 대해 조치 방안을 제공하지 않았다. 시스템 관리자들은 벤더에서 제공한 Patch를 즉시 적용할 것을 권고한다.(벤더와 상의 후 보안 Patch 적용

https://metalink.oracle.com/metalink/plsql/f?p=130:14:9408918956906252448::::p14_database_id,p14_docid,p14_
show_header,p14_show_help,p14_black_frame,p14_
font:NOT,343382.1,1,0,1,helvetica


관련 사이트:

http://www.oracle.com/technology/deploy/security/pdf/cpujan2006.html
http://www.oracle.com/technology/deploy/security/pdf/public_vuln_to_advisory_mapping.html
http://www.oracle.com/technology/deploy/security/pdf/public_vuln_to_advisory_mapping.html
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0265
http://secunia.com/advisories/18493


 
Copyright (c) 1998-2006 A3 Security Consulting., LTD


Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.


신고

작성자 : 김태훈 컨설턴트

A3AID07-06

MS Windows URI Handling 명령 실행 취약점 보안 권고안

 


권고문 작성일 : 2007. 10. 25

취약점 발표일 : 2007. 7. 26

위험등급:

현재 상태(패치 여부) :

벤더: Microsoft


대상 시스템 :

 - Windows XP Service Pack 2 with Internet Explorer 7
 - Windows XP Professional x64 Edition with Internet Explorer 7
 - Windows XP Professional x64 Edition Service Pack 2 with Internet Explorer 7
 - Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2 with Internet Explorer 7
 - Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2 with Internet Explorer 7
 - Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems with Internet Explorer 7
 - Adobe Acrobat 3D Any version
 - Adobe Acrobat Elements 8.1 and earlier
 - Adobe Acrobat Professional 8.1 and earlier
 - Adobe Acrobat Standard 8.1 and earlier
 - Adobe Reader 7.0, 8.0, 8.1
 - Firefox version 2.0.0.5

 

취약점 개요:

본 취약점은 Internet Explorer 7 버전이 설치된 Microsoft Windows XP/2003 시스템에서 등록된 URI Handler(mailto, http, news, snews, nttp, telnet)를 처리하는 ShellExecute API 결함으로 발생한 것이다. 취약점이 확인 된 ShellExecute API는 Windows 기반 어플리케이션 프로그램에서 Import하여 사용하는 API이며, 그 대표적인 경우가 PDF ACROJS(Acrobat Javaxscript)에서 사용하는 URI(<</URI(handler:AAA)/S/URI>>) 메서드이다.
본 취약점을 이용한 공격 유형 중에서 가장 이슈가 된 것은 PDF ACROJS(Acrobat Javaxscript)의 URI 메서드의 입력 값을 조작하여 생성한 PDF 파일이며, 이로 인해 PDF 취약점이 알려지게 됐다.
ShellExecute API의 URI Handling 오류는 PDF 공격 유형 뿐만 아니라 악성 웹 사이트 접속 및 공격 코드로 구성된 웹 링크를 클릭하는 경우에도 시스템 명령 수행 결과를 초래하게 된다.
취약점에 대한 Windows API 레벨에서 패치가 제공되지 않고 있는 0day(제로데이) 취약점이지만, 취약한 ShellExecute API를 사용한 어플리케이션 별로 패치를 제공하고 있다.
본 보고서는 ShellExecute API 취약점 공격 유형 중에서 가장 이슈가 되고 있는 PDF ACROJS URI 메서드 조작을 통한 URI Handling 명령 실행 취약점에 대해서 분석하였다.

 

취약점 세부 분석 :

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)


대응 방안:

 
 = Microsoft Windows ShellExecute API에 대한 패치 버전이 아직 제공되지 않고 있기 때문에 확인되지 않는 사이트 및 첨부 파일에 대해서 접근해서는 안 된다.Adobe 및 FireFox 등 개별 어플리케이션에서 제공하는 패치 버전으로 업데이트 해야 한다.

 

Copyright(c) 1998-2007 A3 Security Consulting.,LTD


Disclaimer
※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.

신고

2008년 11월 30일 오픈 예정

취약점 분석 2008.08.26 20:55 Posted by TEAMCR@K
2008년 11월 30일 오픈 예정 많은 관심 가지기 바랍니다.^0^ -니키-
신고
TAG 오픈


 

티스토리 툴바