◈ 제목
로케이터 서비스의 체크되지 않은 버퍼로 인해 코드 실행 취약점
◈ 해당 시스템
Microsoft 윈도우 NT 4.0
Microsoft 윈도우 NT 4.0, Terminal Server Edition
Microsoft 윈도우 2000
Microsoft 윈도우 XP
◈ 영향
로케이터 서비스의 체크되지 않은 버퍼로 인해 코드가 실행될 수 있으며, 서비스가 중지될 수 있다.
◈ 설명
윈도우즈 Locator 서비스란 원격 프로시저를 호출할 때 사용되는 서비스로 윈도 NT 4.0/2000에서는 도메인 콘트럴러에 의해 기본적으로 실행되도록 되어 있다. 이 취약점으로 인하여 로케이터 서비스에 다량의 호출을 요청할 때 로케이터 서비스의 체크되지 않은 버퍼로 인해 임의의 코드가 실행될 수 있으며, 그로 인하여 서비스가 중지될 수 있다.
◈ 해결책
. 보안 패치를 적용한다.
- 윈도우 NT 4.0 :
http://www.microsoft.com/downloads/details.aspx?FamilyId=F92D1E86-590A -4DA5-93F2-FCC6300A1A43&displaylang=ko
- 윈도우 NT 4.0, Terminal Server Edition :
http://www.microsoft.com/downloads/details.aspx?FamilyId=EB651162-97F2 -47F9-8E99-016B35B7646D&displaylang=en
- 윈도우 2000 :
http://www.microsoft.com/downloads/details.aspx?FamilyId=33FF827A-D5DB -4F92-9DEF-4D91A140E0E0&displaylang=ko
- 윈도우 XP :
32비트:
http://www.microsoft.com/downloads/details.aspx?FamilyId=DF24197E -6217-4ABD-A244-0A53320B2813&displaylang=ko
64비트 :
http://www.microsoft.com/downloads/details.aspx?FamilyId=B8999D16 -3DAD-4E20-B46E-E1AEFB1F6673&displaylang=en
2. 보안패치가 이루어질 때까지 서비스를 일시 중지한다.
가. 확인방법 :
- 윈도우 2000/XP 의 경우
제어판 →도구모음 → 서비스에서 RPCLocator가 서비스되어 있는 지 확인한다
- 윈도우 NT 4.0 의 경우
제어판 → 서비스 에서 관련된 RPCLocator 가 실행되어 있는 지 확인한다.
- 또는, 윈도우 명령어 창에서 net start 입력하여 RPCLocator의 실행되는지 확인한다.
.
나. 중지방법 :
- 윈도우 2000 제어판에서 RPC 로케이터 등록정보에서 "사용안함"으로 한다.
- 윈도우 2000 Resource Kit에 있는 "sc.exe" 프로그램을 이용하여 "sc stop RpcLocator "와 같이 입력한다.
이외에도 NetBIOS 접근을 차단하는 방법 등이 있으나 네트워크에 미칠 영향 등을 신중하게 고려한 후 적용해야 한다.
◈ 참조 사이트
http://www.kb.cert.org/vuls/id/610986
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/ms03-001.asp
