◈ 제목
Microsoft Winsock Proxy Service, ISA Firewall Service 서비스 거부 공격 취약점 발견
◈ 개요
Proxy Server 2.0의 Winsock Proxy Service와 ISA Server의 Microsoft Firewall Service에서 서비스 거부 공격(Denial of Service) 취약점이 발견되었다. 공격자는 특별하게 생성된 패킷을 해당 취약점을 가진 서비스가 실행되고 있는 Windows 서버에 전송함으로써 서비스를 정지시킬 수 있다.
Intranet 사용자들에게 인터넷과의 연결을 위한 Gateway의 역할을 하는 서비스의 특성을 고려할 때 해당 서버를 운영하는 시스템은 취약점에 대한 신속한 패치가 필요하다.
◈ 공격유형
서비스 취약점을 이용한 서비스 거부(Denial of Service) 공격
◈ 해당시스템
Microsoft Proxy Server 2.0
Microsoft ISA Server
◈ 영향
공격자는 서비스 거부 공격(DoS) 취약점을 악용하여 해당 서비스를 정지시킬 수 있다. 그 결과 인트라넷의 사용자들은 인터넷 사용이 불가능하게 될 수 있다.
그러나 해당 취약점에 대한 공격으로 인한 직접적인 영향을 받아 서버가 정지되는 상태에 이르지는 않는다. 관리자는 해당 서비스를 재시작 함으로써 서비스가 정상적인 작동을 하도록 할 수 있으나 같은 형태의 공격을 위한 패킷을 받는다면 동일한 상황이 발생할 것이다.
◈ 설명
Proxy Server 2.0의 Winsock Proxy Service와 ISA Server의 Microsoft Firewall Service는 인터넷에 직접 연결되어 있지 않은 내부 사용자가 Telnet이나 FTP와 같은 프로그램을 사용하는 경우 인터넷에 직접 연결되어 작업을 하는 것처럼 해주는 기능을 한다.
공격자가 특수한 형태의 패킷을 전송하였을 경우 해당 서비스는 이를 처리하는 과정에서 CPU 사용량이 급격하게 증가하고 결과적으로 서버가 정지하게 될 것이다.
ISA Server의 경우 모든 서버가 공격에 취약한 것은 아니다. ISA Server가 Firewall 모드로 설치되었을 때에는 해당 서비스가 활성화 되어 있으나 Cache 모드와 같은 다른 형태로 설치되었을 때 취약점을 가진 Service는 기본 설치 시 비활성화 되어 있으므로 영향을 받지 않는다.
◈ 해결책
Microsoft 에서 제공하는 패치를 다운받아 이를 적용하도록 한다.
- Microsoft Proxy Server 2.0
http://microsoft.com/downloads/details.aspx?FamilyId=C81688B7-20FB-45EB-BAFD-031A0D2923E6&displaylang=en
- Microsoft ISA Server
http://microsoft.com/downloads/details.aspx?familyid=3C43FAD2-A888-4603-84B7-1053C8663436
