TEAMCR@K

작성자 : 김종회 컨설턴트

A3AID-0608

A3 Security Consulting Security Alert

nProtect 키보드 보안 솔루션 핸들 크래쉬 취약점

권고문 작성 일: 2006. 03. 10

취약점 발표 날: 2005. 08. 10

위험 등급: 상

벤더:  잉카인터넷

대상 시스템:


ActiveX형태의 npkcrypt 모듈로부터 후킹된 인터넷 익스플로러

현재상태: 패치됨
 

작성자 : 김종회 컨설턴트

A3AID-0607

A3 Security Consulting Security Alert

Softcamp 키보드 보안 솔루션 핸들 크래쉬 취약점

권고문 작성 일: 2006. 03. 10

취약점 발표 날: 2005. 08. 10

위험 등급: 상

벤더: 소프트캠프

대상 시스템:

 ActiveX형태의 Secure Keystroke 모듈로부터 후킹된 인터넷 익스플로러



현재상태: 패치됨

취약점 개요:


소프트캠프의 Secure Keystroke는 인터넷뱅킹등과 관련하여 클라이언트측의
키스트로킹 하이제킹이나 키로깅과 같은 해킹 위협으로 부터 키보드 입력 데이터를 보호하는 제품입니다.
Secure Keystroke는 가상 커널디바이스를 생성하고 레거시 디바이스 스택을 후킹하도록 설계 되었습니다. 이 제품에서 임의의 공격자에 의해 기능장애를 발생시켜 키스트로킹 보호가 불가능하게 되는 취약점이 발견 되었습니다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

대응 방안:


softcamp 키보드 보안 솔루션을 개발한 벤더에서 기술적인 보안 패치를 해당 사이트에 시급히 적용시키는 것이 가장 최우선적인 대처이고 확실한 보안대책입니다.

관련 사이트:

http://www.softcamp.co.kr

작성자 : 김경곤 컨설턴트

A3AID-0606

A3 Security Consulting Security Alert

Windows Media Player BMP Handling Heap Overflow 취약점 보안 권고안

권고문 작성 일: 2006. 02. 21

취약점 발표 날: 2006. 02. 14

위험 등급: 상

대상 시스템:

Microsoft Windows Media Player 7.1 + Windows 2000 Service Pack 4
Microsoft Windows Media Player 9 + Windows 2000 SP 4, XP SP1 Microsoft Windows Media Player 10 + Windows XP SP2


취약점 개요:


Windows Media Player(이하 WMP)는 Microsoft Windows에 기본적으로 장착된 동영상, 음악과 같은 미디어를 재생하는 Windows 어플리케이션 프로그램이다. Bit Map(이하 BMP) Format은 JPG, GIF와 같이 윈도우와 OS/2에서 제공되는 기본적인 이미지 파일의 한 종류이다.

2월 14일 Microsoft에서는 7개의 취약점을 발표했다. 발표된 취약점 중 Windows Media Player 에서 BMP이미지를 처리할 때Heap Overflow가 발생하여 원격에서 임의의 명령어를 실행할 수 있는 취약점이 발표되었으며 위험 등급이 Critical 등급으로 매겨졌다.

이 취약점을 악용하면 공격자가 악의적으로 만든 BMP 파일을 일반 사용자가 윈도우 미디어 플레이어에서 실행 할 때 Heap Overflow가 발생하여 공격자가 원하는 임의의 명령어를 실행 시킬 수 있다.  

이 취약점을 제거하기 위해서는 Microsoft에서 나온 MS06-005(911565) 패치를 적용하여야 한다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

위험 분석:


본 취약점을 이용한 공격 코드가 이미 공개된 상태이다. 이번 공격이 Heap Overflow 취약점이기 때문에 실제로 공격 코드를 수행하기는 간단하지 않다. 현재 공개된 공격코드 역시 단순히 특정 레지스터 변경을 하여 에러를 발생시켜 Windows Media Player를 Crash 시키는 정도이다. 그러나 공격자들의 수준이 향상되고 Exploit 을 작성하는 능력이 높기 때문에 언제 공격 코드를 업그레이드 하여 실제 악의적으로 공격하는 공격 코드가 작성되어 피해를 입힐 수 도 있기 때문에 빠른 조치를 하여야 한다.

Windows Media Player는 Microsoft Windows에 기본적으로 장착된 프로그램이기 때문에 이 프로그램을 사용하는 사용자들은 위험에 노출될 수 있고, 가정이나 기업의 내부에서 Windows를 사용하는 사람들을 대상으로 이 취약점을 이용하여 공격을 하였을 경우 개인정보 및 기업 내부 정보가 유출 당할 위험이 있다.

대응 방안:

금번 취약점은 Microsoft 에서 대응 방안이 나왔기 때문에 Microsoft에서 권고하는 MS06-005 Patch를 하여야 한다.



관련 사이트:

http://www.microsoft.com/technet/security/Bulletin/MS06-005.mspx

작성자 : 이현정 컨설턴트

A3AID-0605

A3 Security Consulting Security Alert

NullSoft Winamp Playlist Handling  Buffer Overflow 취약점 보안 권고안

권고문 작성 일: 2006. 02. 19

취약점 발표 날: 2006. 01. 29

위험 등급: 중

벤더: Nullsoft

대상 시스템:

Nullsoft Winamp 버전 5.12 또는 하위 버전  

취약점 개요:


Winamp는 mp3 재생기 프로그램 분야에서 높은 이용률을 보이고 있는 대표적인 mp3 사운드 재생 툴이다. Nullsoft Winamp에서 원격의 공격자가 악성 명령을 실행 시킬 수 있는 취약점이 다수 발견되었다.

그 중, Winamp Player 에서 노래 목록을 가져오는 Winamp Playlist 파일의 내용 중 파일이름에 대한 변수를 처리하는 과정에서 바운더리 체크를 하지 않아 스택 버퍼오버플로우가 발생 되는데, 공격자 임의로 악성 프로그램을 실행 할 수 있는 취약점이 존재한다. 이를 이용해 공격자는 악성 명령을 실행하도록 수정된 pls 파일을 사용자에게 전달하거나 특히 웹을 통해서 원격 실행이 가능하게 되므로, 그 위험도는 더욱 커진다.

이번 취약점에 대응하기 위해서는 NullSoft에서 발표한 Winamp 5.13버전으로 업데이트를 적용해야 한다.

취약점 세부분석:

(현재 에이쓰리시큐리티컨설팅에게서 서비스를 받으시는 고객에만 한정적으로 자료 제공)

위험 분석:


Winamp는 대표적인 사운드 재생 툴이며, 높은 이용률을 보이고 있는 소프트웨어 이다. 그만큼 일반 기업에 미치는 영향도 또한 크다고 할 수 있다. 악성 파일(pls) 또는 웹을 통하여 공격이 이루어 질 수 있기 때문에, 5.12 이하의 Winamp 버전에서는 원격의 공격자로부터 악성 쉘 코드나 임의의 프로그램을 실행 시킬 수 있는 큰 위험성이 존재한다.

대상 취약점을 이용한 공격은 특히 웹을 통하여 이뤄질 수 있기 때문에, 기업내의 방화벽을 무력화 시키고 나아가 취약 시스템을 파괴하고 기업 내부 정보를 외부로 유출할 수도 있다.

Winamp 5.13 버전 이상으로 업데이트를 하면 취약점으로 인한 공격의 피해를 줄일 수 있다.
금번 Winamp 취약점은 공격 코드가 먼저 공개 된 0-day 취약점으로 현재 NullSoft사의 패치가 출시된 상태이다.

대응 방안:


NullSoft는 해당 취약점이 적용되는 업데이트 버전을 2006년 1월 30일에 발표 하였다.
5.12 이하의 Winamp 버전을 사용하고 있는 사용자는 5.13 이상의 버전으로 신속히 업데이트 하길 권고한다.

l http://www.winamp.com/player/free.php

관련 사이트:

http://www.frsirt.com/english/advisories/2006/0361  
http://www.idefense.com/intelligence/vulnerabilities/display.php?id=377
http://www.idefense.com/intelligence/vulnerabilities/display.php?id=378