작성자 : 김경곤 컨설턴트

A3AID-0606

A3 Security Consulting Security Alert

Windows Media Player BMP Handling Heap Overflow 취약점 보안 권고안

권고문 작성 일: 2006. 02. 21

취약점 발표 날: 2006. 02. 14

위험 등급: 상

대상 시스템:

Microsoft Windows Media Player 7.1 + Windows 2000 Service Pack 4
Microsoft Windows Media Player 9 + Windows 2000 SP 4, XP SP1 Microsoft Windows Media Player 10 + Windows XP SP2


취약점 개요:


Windows Media Player(
이하 WMP) Microsoft Windows 기본적으로 장착된 동영상, 음악과 같은 미디어를 재생하는 Windows 어플리케이션 프로그램이다. Bit Map(이하 BMP) Format JPG, GIF 같이 윈도우와 OS/2에서 제공되는 기본적인 이미지 파일의 종류이다.

2
14 Microsoft에서는 7개의 취약점을 발표했다. 발표된 취약점 Windows Media Player 에서 BMP이미지를 처리할 Heap Overflow 발생하여 원격에서 임의의 명령어를 실행할 있는 취약점이 발표되었으며 위험 등급이 Critical 등급으로 매겨졌다.

취약점을 악용하면 공격자가 악의적으로 만든 BMP 파일을 일반 사용자가 윈도우 미디어 플레이어에서 실행 Heap Overflow 발생하여 공격자가 원하는 임의의 명령어를 실행 시킬 있다.  

취약점을 제거하기 위해서는 Microsoft에서 나온 MS06-005(911565) 패치를 적용하여야 한다.



취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)


위험 분석:


취약점을 이용한 공격 코드가 이미 공개된 상태이다. 이번 공격이 Heap Overflow 취약점이기 때문에 실제로 공격 코드를 수행하기는 간단하지 않다. 현재 공개된 공격코드 역시 단순히 특정 레지스터 변경을 하여 에러를 발생시켜 Windows Media Player Crash 시키는 정도이다. 그러나 공격자들의 수준이 향상되고 Exploit 작성하는 능력이 높기 때문에 언제 공격 코드를 업그레이드 하여 실제 악의적으로 공격하는 공격 코드가 작성되어 피해를 입힐 있기 때문에 빠른 조치를 하여야 한다.

Windows Media Player
Microsoft Windows 기본적으로 장착된 프로그램이기 때문에 프로그램을 사용하는 사용자들은 위험에 노출될 있고, 가정이나 기업의 내부에서 Windows 사용하는 사람들을 대상으로 취약점을 이용하여 공격을 하였을 경우 개인정보 기업 내부 정보가 유출 당할 위험이 있다.

 

대응 방안:

금번 취약점은 Microsoft 에서 대응 방안이 나왔기 때문에 Microsoft에서 권고하는 MS06-005 Patch 하여야 한다.



관련 사이트:


http://www.microsoft.com/technet/security/Bulletin/MS06-005.mspx




Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.

신고

작성자 : 이현정 컨설턴트

A3AID-0605

A3 Security Consulting Security Alert

NullSoft Winamp Playlist Handling  Buffer Overflow 취약점 보안 권고안

권고문 작성 일: 2006. 02. 19

취약점 발표 날: 2006. 01. 29

위험 등급:

벤더: Nullsoft

대상 시스템:

Nullsoft Winamp 버전 5.12 또는 하위 버전 
 


취약점 개요:


Winamp
mp3 재생기 프로그램 분야에서 높은 이용률을 보이고 있는 대표적인 mp3 사운드 재생 툴이다. Nullsoft Winamp에서 원격의 공격자가 악성 명령을 실행 시킬 수 있는 취약점이 다수 발견되었다.

그 중,
Winamp Player 에서 노래 목록을 가져오는 Winamp Playlist 파일의 내용 중 파일이름에 대한 변수를 처리하는 과정에서 바운더리 체크를 하지 않아 스택 버퍼오버플로우가 발생 되는데, 공격자 임의로 악성 프로그램을 실행 할 수 있는 취약점이 존재한다. 이를 이용해 공격자는 악성 명령을 실행하도록 수정된 pls 파일을 사용자에게 전달하거나 특히 웹을 통해서 원격 실행이 가능하게 되므로, 그 위험도는 더욱 커진다.

이번 취약점에 대응하기 위해서는 NullSoft에서 발표한 Winamp 5.13버전으로 업데이트를 적용해야 한다.


취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

 

위험 분석:


Winamp는 대표적인 사운드 재생 툴이며, 높은 이용률을 보이고 있는 소프트웨어 이다. 그만큼 일반 기업에 미치는 영향도 또한 크다고 할 수 있다. 악성 파일(pls) 또는 웹을 통하여 공격이 이루어 질 수 있기 때문에, 5.12 이하의 Winamp 버전에서는 원격의 공격자로부터 악성 쉘 코드나 임의의 프로그램을 실행 시킬 수 있는 큰 위험성이 존재한다.

대상 취약점을 이용한 공격은 특히 웹을 통하여 이뤄질 수 있기 때문에, 기업내의 방화벽을 무력화 시키고 나아가 취약 시스템을 파괴하고 기업 내부 정보를 외부로 유출할 수도 있다.

Winamp 5.13 버전 이상으로 업데이트를 하면 취약점으로 인한 공격의 피해를 줄일 수 있다.
금번 Winamp 취약점은 공격 코드가 먼저 공개 된 0-day 취약점으로 현재 NullSoft사의 패치가 출시된 상태이다.

 

대응 방안:


NullSoft는 해당 취약점이 적용되는 업데이트 버전을 2006년 1월 30일에 발표 하였다.
5.12 이하의 Winamp 버전을 사용하고 있는 사용자는 5.13 이상의 버전으로 신속히 업데이트 하길 권고한다.

l http://www.winamp.com/player/free.php


관련 사이트:

http://www.frsirt.com/english/advisories/2006/0361  
http://www.idefense.com/intelligence/vulnerabilities/display.php?id=377
http://www.idefense.com/intelligence/vulnerabilities/display.php?id=378



Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.

신고
작성자 : 김태훈 책임컨설턴트

A3AID-0604


A3 Security Consulting Security Alert

MS Windows Service ACLs(Access Control List) 로컬 권한 상승 취약점 분석

권고문 작성 일: 2006. 02. 14

취약점 발표 날: 2006. 02. 06

위험 등급:

벤더: Microsoft

대상 시스템:

MS HTML HELP WORKSHOP 4.74.8702.0
 

취약점 개요:


2006년 2월 6일, Microsoft HTML HELP WORKSHOP 프로그램에서 HTML HELP 프로젝트 파일(*.hhp )을 처리시 스택 버퍼 오버플로우 취약점이 존재하는 것으로 확인되었다. 이 취약점으로 악성 쉘 코드 실행이 가능하며 트로이 목마의 설치 및 원격 연결이 가능한 것으로 확인되었다. 0-day 취약점으로MS에서 HOT-FIX를 제공하기 전에 웹 사이트 업로드 및 메일 첨부 파일 형식으로 악성 프로젝트 파일(*.hhp)이 전파될 수 있으며, 현재 권고안을 작성하는 2월 13일까지 상기 취약점에 대한 패치가 나오지 않은 상태로 알려지지 않은 프로젝트 파일(*.hhp)에 대한 많은 주의가 요구된다.


취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

 

위험 분석:


상기 취약점을 이용한 실제 동작하는 공격 코드가 이미 공개된 상태이므로, 이를 응용한
많은 해킹 피해가 예상된다. 신뢰할 수 없는 웹 사이트 페이지 및 게시판에 업로드 된 확인되지 않은 HTML HELP 프로젝트 파일 그리고 메일 첨부 파일 형태로 배포되고 있기 때문에 확인되지 않은 HTML HELP 프로젝트 파일은 열람해서는 안 된다.




대응 방안:


본 취약점에 대한 MS에서의 HOT-FIX는 발표되지 않았으며, 대부분의Anti-Virus 업체에서도 패턴 업데이트가 이루어지지 않았으므로 다음과 같은 임시 대응책을 사용하길 권고한다.
임시 대응 책으로 MS HTML HELP WORKSHOP 응용 프로그램은 운영체제 기본 프로그램이 아니기 때문에 MS에서 HOT-FIX를 발표하기 전까지 HTML HELP 프로젝트 파일(*.hhp)에 대한 기본 연결 프로그램을 해제하고 MS HTML HELP WORKSHOP 응용프로그램이 필요하지 않을 경우에는 제거하길 바란다.

Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer
※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.

신고
작성자 : 이현정 컨설턴트

A3AID-0603

A3 Security Consulting Security Alert

MS Windows Service ACLs(Access Control List) 로컬 권한 상승 취약점 분석

권고문 작성 일: 2006. 02. 10

취약점 발표 날: 2006. 02. 02

위험 등급: 중간 (로컬 권한 상승)

벤더: Microsoft

대상 시스템:

Microsoft Windows XP 64-bit Edition
Microsoft Windows XP 64-bit Edition SP1
Microsoft Windows XP 64-bit Edition
Microsoft Windows XP 64-bit Edition Version 2003
Microsoft Windows XP 64-bit Edition Version 2003 SP1
Microsoft Windows XP 64-bit Edition Version 2003
Microsoft Windows XP Home
Microsoft Windows XP Home SP1
Microsoft Windows XP Home
Microsoft Windows XP Home SP2
Microsoft Windows XP Home
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Media Center Edition SP1
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Media Center Edition SP2
Microsoft Windows XP Media Center Edition
Microsoft Windows XP Professional
Microsoft Windows XP Professional SP1
Microsoft Windows XP Professional
Microsoft Windows XP Professional SP2
Microsoft Windows XP Professional
Microsoft Windows XP Professional x64 Edition

취약점 개요:

Microsoft Windows 에서 발견된 이 취약점은 일반 사용자가 로컬 시스템 권한으로 특정 프로그램을 실행할 수 있는 권한 상승 취약점이다. 이 결함은 불안전한 Default Access Control로 인해, "Authenticated Users" 그룹에 속한 유저가 Microsoft Windows에서 ACL의 영향을 받지 않는 서비스 설정 배열을 수정하는 권한이 주어지는 문제 때문에 발생한다.

이와 같이 서비스 설정 변경이 가능하여 로컬 시스템에 대한 권한 상승 취약점이 발생한다. 이 취약점을 악용하면 로컬에서 공격자(일반유저)가 "Local System" 권한으로 임의의 바이너리(웜, 백도어)를 실행할 수 있게 된다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

위험 분석:

본 취약점을 이용해, 공격자는 악의의 프로그램을 로컬 시스템 권한에서 실행 시킬 수 있다. 프로그램의 원래 경로를 공격자 임의로 변경하여 악성 프로그램을 로컬 시스템 권한에서 실행 시, 공격자는 윈도우 보안 정책을 무력화 시킬 수 있고, 시스템 다운은 물론 악의적으로 시스템 권한을 획득할 수 있게 된다.

대응 방안:

이 취약점은 MS에서 아직 공식적인 패치가 나오지 않은 0day취약점이기 때문에 적지 않은 피해가 예상된다. 중 장기적인 보안 대책은, 관리자 및 사용자들은 아래 내용에 따라 사전예방에 주의해야 한다.

1. 신뢰할 수 있는 사용자에게만 로컬 액세스를 허가한다. 가능한 제한된 환경과 쉘을 사용한다.
2. 이 취약점을 공격하기 위해서는 로컬 대화형 액세스가 요구된다. 그러므로 신뢰할 수 있는 사용자에게만 로컬 대화형 액세스를 허가한다.
3. 레지스트리 파일에 대한 읽기, 쓰기 및 실행 권한을 다시 검토한다.
4. 레지스트리 엔트리에 대한 사용 권한을 감사하여 악성 사용자가 이 취약점을 공격하는 것을 방지한다.


관련 사이트:
http://www.frsirt.com/english/advisories/2006/0417
http://www.cs.princeton.edu/~sudhakar/papers/winval.pdf
http://www.microsoft.com/technet/security/advisory/914457.mspx

Copyright (c) 1998-2006 A3 Security Consulting., LTD

Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.


신고
작성자 : 최진욱 선임 컨설턴트

A3AID-0602

A3 Security Consulting Security Alert

Oracle 로그인 접근통제 취약점

권고문 작성 일: 2006. 02. 10

취약점 발표 날: 2006. 01. 18

위험 등급:

벤더: Oracle


대상 시스템:

Oracle Database Version 8.1.7.x.x
Oracle Database Version 9.2.0.7
Oracle Database Version 10.1.0.4.2
Oracle Database Version 10.1.0.5
Oracle Database Version 10.2.0.1.0


취약점 개요:

Oracle에서는 클라이언트와 서버간 통신하는 과정 중 SQLPlus를 통해 DBMS(서버) 접속 시 인증 단계에서 SYS 권한으로 실행되는 유효한 SQL 구문이 포함되어 있다. 이러한 유효한 SQL 구문은 공격자에 의해 임의의 공격 SQL 구문으로 교체 조작됨으로써 서버에서 일반계정의 Oracle 유저가 SYS 권한으로 공격SQL 구문이 실행할 수 있는 취약점이 발표 되었다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)


위험 분석:


위 취약점은 실제 로컬 네트워크에서 일반사용자의 권한이 있다는 가정하에 취약점이 될 수 있다. 하지만 대부분의 DBMS(서버)에서 Default 사용자가 Enable 되어 있으므로 로컬 네트워크에서 권한이 없는 임의의 사용자가 공격을 통해 DBA 권한을 가질 수 있다.
또한 직접적으로 공격을 수행할 수는 없지만 취약한 로컬네트워크의 한 서버가 외부에서 뚫렸을 경우 외부에서 직접적으로 공격 하는 것과 같은 위험성을 내포하고 있다.

대응 방안:


Oracle은 이 취약점에 대해 조치 방안을 제공하지 않았다. 시스템 관리자들은 벤더에서 제공한 Patch를 즉시 적용할 것을 권고한다.(벤더와 상의 후 보안 Patch 적용

https://metalink.oracle.com/metalink/plsql/f?p=130:14:9408918956906252448::::p14_database_id,p14_docid,p14_
show_header,p14_show_help,p14_black_frame,p14_
font:NOT,343382.1,1,0,1,helvetica


관련 사이트:

http://www.oracle.com/technology/deploy/security/pdf/cpujan2006.html
http://www.oracle.com/technology/deploy/security/pdf/public_vuln_to_advisory_mapping.html
http://www.oracle.com/technology/deploy/security/pdf/public_vuln_to_advisory_mapping.html
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0265
http://secunia.com/advisories/18493


 
Copyright (c) 1998-2006 A3 Security Consulting., LTD


Disclaimer

※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.


신고


 

티스토리 툴바