◈ 제목
SMB 서명의 실행 결함으로 인한 그룹정책의 수정
◈ 개요
Server Message Block은 모든 윈도우 버전에서 기본적으로 지원되는 프로토콜이며, 이론상으로는 파일 공유 프로토콜이다. SMB의 가장 중요한 기능은 도메인 컨트롤러에 새로 로그 온한 클라이언트로 그룹 정책 정보를 전송 하는 것이다. Windows 2000과 Windows XP버전에서 SMB 서명 실행과정의 오류로 인해 취약점이 발생하며 공격자는 클라이언트의 SMB 서명 설정을 수정할 수 있게 되어 임의적인 코드를 실행할 수 있게 된다.
◈ 공격유형
코드 실행
◈ 해당시스템
Microsoft Windows XP
Microsoft Windows 2000
◈ 영향
공격자는 해당 시스템의 SMB 서명 설정을 수정할 수 있다. 이로 인해 시스템 모두가 시스템 관리자가 설정해 놓은 서명 정책을 무시하고 서명되지 않은 데이터를 보내게 된다. 서명 설정을 수정 한 후, 공격자는 세션을 모니터링 하면서 전송되는 데이터를 변경할 수 있게 되어 Windows 2000 도메인 컨트롤러에 로그 온 한 클라이언트로 전송되는 그룹 정책 정보가 변경되는 것이다. 이로 인해 공격자는 로컬 관리자 그룹에 사용자를 추가한다거나 자신이 선택한 시스템의 코드를 실행할 수 있게 된다.
◈ 설명
SMB (Server Message Block)은 모든 윈도우 버전에서 기본적으로 지원되는 파일 공유 프로토콜이다. 이 SMB를 이용하여 사용자와 컴퓨터가 시스템에 있는 파일들을 효과적으로 검색하고 사용할 수 하게 하는 동시에 다른 사용자와의 파일 사용에 대한 충돌 없이 작업할 수 있도록 한다. SMB 서명이란 Windows 2000과 Windows XP에서만 가능한 기능으로 SMB 프로토콜을 이용하는 모든 통신은 패킷 수준에서 디지털 서명을 할 수 있게 된다. 패킷을 디지털 서명 함으로서 패킷의 수신자는 원래의 위치와 신뢰성에 대해 확신할 수 있게 되며 사용자가 서버로부터 검색한 파일이 다른 공격자에 의해 수정되지 않았다는 것을 확인하는데 사용되며 윈도우 도메인은 일부 보안 유형의 전송을 위해 SMB를 통해 전송한다. 이로 인해 클라이언트에서 수정되지 않은 정상적인 그룹 정책을 받고 있다는 것을 확인할 수 있다.
SMB 서명은 로컬 정책 설정들을 통해 형성되며 설정이 가능한 4가지 중 두 가지는 네트워크 내에서 시스템이 클라이언트로서 어떻게 사용되는 지에 대해 관리하며 다른 두 가지는 서버로서의 시스템 사용 부분을 관리한다. 각각의 경우에 따라 시스템은 서명을 발급하기, 발급하지 않기 또는 서명을 요구 하기 3가지로 설정이 가능하나 윈도우 2000과 윈도우 XP 에서는 서명은 할 수 있으나 초기 값으로 요청하지 않도록 설정되어 있다.
윈도우 2000 또는 윈도우 XP 시스템이 SMB 서명을 요구하게 된다면 다른 시스템과 협상과정을 수행하게 되고 상대 시스템이 SMB 데이터를 서명할 수 없도록 설정된 경우엔 커뮤니케이션 형성을 거부하게 된다. 이러한 점을 악용하여 협상 정보를 변형시킬 경우 서명을 요구하도록 설정된 Windows 2000 또는 Windows XP 시스템이 요구 조건을 취소하게 되어 그에 따른 로컬 정책이 설정은 되어 있으나 서명되지 않은 커뮤니케이션도 받아 들이게 된다.
SMB 서명이 제 기능을 할 수 없게 됨으로 인해 데이터에 접근 할 수 있는 사람 누구나 데이터가 네트워크를 통과할 때 변형시킬 수 있게 된다. 이 점은 그룹 정책의 경우 가장 위험한 부분이며 SMB 서명을 요청하도록 설정된 윈도우 2000 도메인 컨트롤러에서는 그룹 정책 설정의 신뢰성을 확인하는 방법으로 이를 도메인 구성원으로 포함 되어 있는 시스템에 다운로드 하게 되는데 이 취약점을 악용하여 도메인 컨트롤러에서 클라이언트로 전송되는 그룹 정책 정보를 수정함으로써 공격자는 클라이언트가 받아들이는 그룹 정책 설정을 변경할 수 있게 된다.
그러나 공격자는 취약점을 이용하여 클라이언트가 받으려는 데이터만 변경할 수 있고 서버 상에 위치한 데이터를 직접 변경할 수 있는 방법은 없다. 그리고 윈도우 XP는 도메인 컨트롤러로 사용할 수 없으므로 이 취약점의 가장 위험한 대상은 윈도우 2000이 된다.
◈ 해결책
마이크로소프트에서 제공하는 패치를 적용하여 이 취약점을 제거할 수 있다.
- Windows 2000
NEC 일본어를 제외한 모든 언어
http://www.microsoft.com/downloads/details.aspx? FamilyId=52EAC216-A360-4E2D-9C6B-AD4D31C40BA2&displaylang=ko
- Windows XP
32-bit Edition
http://www.microsoft.com/downloads/details.aspx? FamilyId=77B49431-742B-4426-AD45-F09D3AED16CB&displaylang=ko
64-bit Edition
http://www.microsoft.com/downloads/details.aspx? FamilyId=580FCE68-B7E2-4BF9-8A16- 54D1E39F2168&displaylang=en
◈ 추가정보 / 참고사이트
이 취약점에 대한 자세한 내용은 다음 사이트를 참고한다.
-
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2002-1256
-
http://www.microsoft.com/technet/security/bulletin/MS02-063.asp
