A3AID-0613
A3 Security Consulting Security Alert
Microsoft Windows인터넷 익스플로러(CreateTextRange)원격 코드 실행 취약점
권고문 작성 일: 2006. 03. 30
취약점 발표 날: 2006. 03. 22
위험 등급: 상
벤더: Microsoft
대상 시스템:
Internet Explorer 5.01 서비스 팩 4 on MS Windows 2000 서비스 팩 4
Internet Explorer 6 서비스 팩 1 on MS Windows XP 서비스 팩 1
Internet Explorer 6 for MS Windows XP 서비스 팩 2
Internet Explorer 6 for MS Windows Server 2003, and 서비스 팩 1
Internet Explorer 6 for MS Windows Server 2003, and 서비스 팩 1(이타니움 기반)
Internet Explorer 6 for MS Windows Server 2003 x64 Edition
Internet Explorer 6 for Microsoft Windows XP Professional x64 Edition
현재상태: 미패치
취약점 개요 :
2006년 3월 23일 MS 인터넷 익스플로러의 DHTML 메서드인 “CreateTextRange()”에서 메모리 Corruption Error가 발생하여 원격 쉘 코드 실행이 가능한 취약점이 발견되었다. 이 취약점을 통하여 악성 쉘 코드가 사용자의 권한으로 실행 가능한 것이 확인되었다. 이 취약점은 MS사에서 공식적인 패치를 내 놓지 않은 일명 제로데이 취약점으로 공격코드가 공개된 상태이며, MS사의 공식 패치 발표 예정일인 4월 11일 이전에 이미 해당 취약점을 이용한 공격시도가 늘어나고 있다. 공격의 방법은 광고, 링크, 메일읽기, XSS와 마찬가지로 스크립트가 허용된 게시판에 악성 스크립트를 삽입하는 등의 방법으로 진행될 수 있으며 피해우려가 높은 시스템을 악성 스크립트로 변조된 웹사이트로 유도하여 공격하는 방법 등이 시도되고 있어 특별한 주의가 필요하다.
취약점 세부분석 :
(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)
위험분석 :
상기 취약점을 이용한 실제 동작하는 공격 코드가 이미 공개된 상태이므로, 이를 응용한 많은 해킹 피해가 예상된다. 특히 스크립트가 허용된 게시판 등에 삽입하는 방법 등을 이용하여 쉽게 유포 될 수 있고 공격에 성공하였을 경우 시스템에 대한 완전한 권한을 얻게 되어 치명적인 위험에 놓일 수 있다.
대응방안 :
Microsoft는 해당 취약점이 대한 HOT-FIX를 발표되지 않았으므로(2006년 4월 11일 발표예정) 신뢰되지 않은 웹사이트의 방문을 자제하고 이메일의 첨부파일 또는 링크를 신중히 확인하여야 하며, 다음과 같은 임시 대응책을 사용하길 권고한다.
인터넷 익스플로러 도구 -> 인터넷 옵션 -> 보안 -> 인터넷을 선택 후 사용자 지정 -> 스크립팅 -> Active 스크립팅 사용안함
※ Active 스크립팅 기능이 해제되므로 일부 웹사이트가 정상적으로 작동하지 않을 수 있음
Active 스크립팅을 사용해야 하는 경우 아래의 서드 파티 임시패치를 이용하거나 인터넷 익스플로러가 아닌 다른 웹브라우저(ex. FireFox, Netscape..)를 이용하도록 권고한다.
- Determina Offers Free Fix For Critical Zero Day Windows Vulnerability
http://www.determina.com/security_center/download/DETCVE-2006-1359.msi
- eEYE Digital Security Patch for the IE createTextRange() vulnerability
http://www.eeye.com/html/research/tools/JxxscriptPatchSetup101.exe
관련사이트
- Vulnerability in the way HTML Objects Handle Unexpected Method Calls Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/917077.mspx
- Bugtraq : IE crash
http://seclists.org/lists/bugtraq/2006/Mar/0410.html
- Computer Terrorism (UK) Microsoft Internet Explorer (mshtml.dll) Remote Code Execution
http://www.computerterrorism.com/research/ct22-03-2006
Copyright (c) 1998-2006 A3 Security Consulting., LTD
Disclaimer
※ 현재 ㈜에이쓰리시큐리티컨설팅에서 테스트 및 분석 중에 있으며, 이 문서는 계속 업데이트될 것입니다. 본 문서는 보안취약점으로 인한 피해를 최소화하는 데 도움이 되고자 작성되었으나, 본 문서에 포함된 대응방안의 유효성이나 기타 예상치 못한 시스템의 오작동 발생에 대하여서는 ㈜에이쓰리시큐리티컨설팅에서는 일체의 책임을 지지 아니합니다.
