◈ 제목
Solaris lpq 스택 버퍼 오버플로우 취약점
◈ 해당 시스템
Sun Solaris 2.5.1 (SPARC/x86)
Sun Solaris 2.6 (SPARC/x86)
Sun Solaris 7 (SPARC/x86)
◈ 개요
NSFOCUS Security Team은 솔라리스 시스템 어플리케이션인 lpq에 버퍼오버플로우 취약점이 존재한다는 것을 발견하였다. 취약점을 이용한 로컬의 공격자는 루트 권한을 얻을 수 있다.
◈ 설명
지정된 작업의 상태 또는 지정된 UserName 및 JobNumber 변수와 관련된 모든 작업의 상태를 보여주는 lpq는 SunOS/BSD 계열의 호환성 패키지 명령이다. 기본적으로 suid의 root bit으로 설정되어 있다. 사용자에 의해 제공되어지는 데이터를 처리할 때 유효성 검사(Valid bound check)가 안되기 때문에 공격자는 정해진 스택 내에서 버퍼 오버플로우를 발생시키게 된다.
교묘하게 오버플로우 현상을 발생시킨 공격자는 root 권한을 획득하여 임의의 코드를 실행시킬 수 있다.
실제로 /usr/ucb/lpq은 /usr/bin/lpstat에 심볼릭 링크되어 있다. lpstat는 호출되는 프로그램 이름에 따라 작동된다. lpq는 BSD 계열이나 System V 계열에서 작동된다. lpq의 bsd_queue()함수의 기능은 정해진 버퍼 사이즈 내에서 사용자들에게서 제공되어지는 데이터를 복사하기 위해 strcat() 함수를 호출한다.
데이터를 복사할 때 데이터의 길이가 체크되지 않았기 때문에 만일 공격자가 상당히 긴 문자열을 집어넣게 되면 시스템은 스택 오버 버퍼플로우를 야기 시킬 것이다. 리턴되는 주소를 덮어쓰게 되고, 스택 내에 다른 데이터를 집어 넣게 되면 로컬의 공격자는 루트 권한을 획득하게 된다.
Solaris 8/9는 스트링을 복사하는데 strlcat()함수를 사용하기 때문에 버퍼오버플로우를 피할 수 있고, 이와 같은 쟁점에 취약하지 않다.
◈ 영향
버퍼 오버플로우를 발생시켜 root 권한을 획득한 후, 로컬에서 임의의 코드를 수행시킬 수 있다.
◈ 해결책
1. 일시적으로 lpstat(lpq)의 suid의 root 속성을 disable 시킨다.
# chmod u-s /usr/bin/lpstat
※ SecurityFocus에서는 "# chmod a-s /usr/bin/lpstat"을 이용해 suid의 속성을 변경하는 것을 제안하였으나, 한국정보보호진흥원에서는 "# chmod u-s /usr/bin/lpstat"를 이용하여 suid의 속성을 변경하기를 제안한다.
2. 아래의 패치 사이트의 Patch-ID를 통해 문제를 해결한다.
-- 패치 사이트 -------
Solaris 2.6
Patch-ID : 106235-12
Solaris 2.6_x86
Patch-ID : 106236-12
Solaris 7
Patch-ID : 107115-12
Solaris 7_x86
Patch-ID : 107116-12
※ 아래의 사이트에 접속해서 콤보박스에 Patch-ID를 입력한 후, "FindPatch" 버튼을 클릭하면 좀 더 상세한 정보를 볼 수 있다.
http://sunsolve.sun.com/pub-cgi/show.pl?target=patches/patch-access&nav=patchpage
◈ 참조 사이트
http://www.securityfocus.com/advisories/5192
