◈ 제목
MS SQL Server 2000과 MSDE 2000의 Resolution Service 버퍼오버플로 취약점
◈ 해당 시스템
Microsoft SQL Server 2000
Microsoft Desktop Engine (MSDE) 2000
◈ 영향
1. 공격자는 MS SQL서버 2000과 의 Microsoft Desktop Engine(MSDE) 2000의 Resolution Service의 버퍼오버플로 취약점을
이용하여 시스템 메모리의 일부분을 overwrite시킬 수 있다.
2. 이 취약점을 이용하여 공격자는 데이터베이스에 대한 권한을 획득하여 시스템을 장악할 수 있다.
3. 이 취약점을 이용하여 Slammer웜이 제작되어 확산되고 있다.
◈ 설명
MS SQL서버 취약점의 대한 보안 패치가 http://www.certcc.or.kr/의 KA-2002-067과 KA-2002-072에 이미 소개되어진 바가 있다.
그당시 발표된 취약점과 다른것은 없고 다만 MDSE 2000사용자들에게도 같은 취약점이 발견되었으며 이는 다음과 같다.
SQL Server 2000과 MSDE 2000의 Resolution Service 버퍼오버플로를 이용하여 공격자가
조작된 패킷을 Resolution Service에 보냄으로써, 공격자는 SQL서버 서비스에 임의의 코드를 실행시킬 수 있으며
또한 데이터베이스에 대한 권한 상승을 획득할 수 있다.
SQL Server 2000과 MSDE 2000의 Resolution Service 서비스 거부공격
SQL Server 2000과 MSDE 2000의 Resolution Service는 active와 passive instance를 구별하는 keep-alive메커니즘을 사용한다.
공격자는 스프핑된 소스 어드레스와 패킷을 생성하여 패킷 받는 시스템과와 패킷 보내는 시스템의 Resolution Service에
이 패킷을 보내게 되면 두 서버는 서로 패킷을 주고받게 된다.
결국 두 서버들이 Request와 Reply 패킷을 구분하지 못하므로 PingPong 현상이 발생하므로
결국 시스템의 리소스를 서로 낭비하는 결과를 빚게 되어 서비스 거부 공격이 이루어진다.
MSDE 2000는 기본적으로 시스템에 설치되지 않는다. 프로그램 개발자들이 개발 목적으로 옵션으로 설치하는 경우가 있다.
아래의 제품군이 MSDE 2000을 지원하는 어플리케이션들이다.
Microsoft Age of Mythology (yes, it's a game)
Microsoft Biztalk Server
Microsoft Office XP Developer Edition
Microsoft Project
Microsoft SharePoint Portal Server
Microsoft Visio 2000
Microsoft Visual FoxPro
Microsoft Visual Studio.NET
Microsoft .NET Framework SDK
Compaq Insight Manager
Crystal Reports Enterprise
Dell OpenManage
HP Openview Internet Services Monitor
McAfee Centralized Virus Admin
McAfee Epolicy Orchestrator
Trend Micro Damage Cleanup Server
Websense Reporter
Veritas Backup Exec
WebBoard Conferencing Server
기타...
◈ 해결책
1. 패치를 한다.
패치다운로드 위치:
http://download.microsoft.com/download/SQLSVR2000/ Patch/8.00.0686/W98NT42KMeXP/KO/8.00.0686_kor_installer.exe
이 패치는 SQL Server 2000과 MSDE 2000의 Service Pack 2가 설치되어 있는 시스템에만 설치되어 질 수 있다.
2. 서비스 팩2를 사용하지 않는 사용자들은
http://www.certcc.or.kr에 보다 자세하게 설명되어 있으므로 방문하여 패치를 적용하거나 서비스 팩3를 다운 받는다.
3. 라우터에서의 접근통제 : 공격에 사용되고 있는 포트 1434/UDP 포트에 대한 내외부 트래픽을 차단한다.
router#conf terminal
router(config)#access-list 115 deny udp any any eq 1434
router(config)#access-list 115 permit ip any any
router(config)#int i
router(config-if)#ip access-group 115 in
router(config-if)#ip access-group 115 out
◈ 참조 사이트
http://www.certcc.or.kr/의 KA-2002-067 참조
http://www.certcc.or.kr/의 KA-2002-072 참조
http://www.microsoft.com/korea/technet/security/bulletin/MS02-061.asp
