◈ 제목
그래픽 렌더링 엔진(WMF - Windows Meta File)의 원격 코드 실행 문제(912919)
◈ 개요
그래픽 렌더링 엔진에 취약점이 존재하여 원격코드 실행 또는 서비스거부 공격이 가능하다. 윈도우 메타파일(WMF)이미지 형식이 렌더링 될 때 임의의 코드가 실행될 수 있는 취약점이 존재한다. 이 취약점을 악용한 공격자는 프로그램의 설치, 보기, 변경, 데이터 삭제등과 같은 권한을 얻게 되어 시스템을 완전히 제어할 수 있게 된다.
◈ 공격유형
취약점을 이용한 원격 코드 실행
◈ 해당시스템
Microsoft Windows 2000 Service Pack 4
Microsoft Windows XP Service Pack 1 , Microsoft Windows XP Service Pack 2
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003 , Microsoft Windows Server 2003 Service Pack 1
Microsoft Windows Server 2003 for Itanium-based Systems
Microsoft Windows Server 2003 SP1 for Itanium-based Systems
Microsoft Windows Server 2003 x64 Edition
◈ 영향
공격자는 취약점을 이용하여 시스템 관리자 권한의 획득 또는 DoS 상태를 유발할 수 있다. 관리자 권한을 획득한 공격자는 시스템을 완전히 제어할 수 있게 되어 시스템이 위험에 노출되게 된다.
◈ 설명
원격에서 코드를 실행할 수 있는 취약점이 존재하는 것으로 공격자는 시스템을 제어할 수 있는 모든 권한을 얻을 수 있게 된다. 이 취약점은 WMF(Windows Meta File) 이미지 형식의 파일이 렌더링 될 때 발생할 수 있는 것으로 공격자가 조작한 악의적인 WMF 파일로 인하여
특정 웹사이트를 방문을 유도하거나, 특수하게 조작된 이미지를 첨부하여 메일을 발송하는 등 다양한 형태로 사용자에게 접근을 유도하여 공격에 이용할 수 있다.
Graphics Rendering Engine Vulnerability (CAN-2005-4560)
WMF(Windows Meta File) 이미지는 벡터(Vector)정보와 비트맵(bitmap)정보를 담고 있는 윈도우에 최적화된 16bit 파일 포맷이다.
악의적인 WMF 파일을 로드할때 윈도우 운영체제는 아래와 같은 방식으로 동작하게 된다.
shimgvw.dll
gdiplus.GdipLoadImageFromStreamICM
GDI32.PlayMetaFile
GDI32.PlayMetaFileRecord
GDI32.Escape
GDI32.SetAbortProc
014EE344 77C94974 /CALL to Escape from GDI32.77C9496F
014EE348 D1210896 |hDC = D1210896
014EE34C 00000009 |Escape = SETABORTPROC
014EE350 0000FDFD |InDataSize = FDFD (65021.)
014EE354 00172194 |pInData = 00172194
014EE358 00000000 \pOutData = NULL
지금까지 발견된 *.WMF 변형들은 스파이웨어 또는 악성 IRCBot, 트로이목마를 설치하는 다운로더들이다.
이 취약점은 MS05-053 취약점과 별개의 취약점이며 반드시 보안패치를 하도록 한다.
◈ 차단정보
트러스가드(TrusGuard)는 해당 취약점에 알려진 공격에 대응하고 있다
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/bulletin/MS06-001.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/bulletin/MS06-001.mspx
