◈ 제목
Microsoft Internet Explorer의 createTextRange() 원격 코드 실행 문제
◈ 개요
일부 Microsoft Internet Explorer 버전에는 임의의 원격 코드 실행이 가능한 취약점이 존재한다. 해당 취약점은 Internet Explorer가 "createTextRange()" 메쏘드를 호출하는 과정에서 발생하는 메모리 Corruption Error이 원인이 된다. 공격자는 createTextRange() 메쏘드를 포함하여 잘 조작된 웹 페이지를 통해서 원격으로 Internet Explorer를 크래쉬(crash)시키거나 임의의 코드를 실행할 수 있다.
◈ 공격유형
취약점을 이용한 원격 코드 실행
◈ 해당시스템
Internet Explorer 5.01 Service Pack 4 on Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 Service Pack 1 on Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 Service Pack 1 on Microsoft Windows XP Service Pack 1
Internet Explorer 6 for Microsoft Windows XP Service Pack 2
Internet Explorer 6 for Microsoft Windows Server 2003 and Microsoft Windows Server 2003 Service Pack 1
Internet Explorer 6 for Microsoft Windows Server 2003 for Itanium-based Systems, Microsoft Windows Server 2003 with SP1 for Itanium-based Systems
Internet Explorer 6 for Microsoft Windows Server 2003 x64 Edition, and Microsoft Windows XP Professional x64 Edition
Internet Explorer 6 Service Pack 1 on Microsoft Windows 98, on Microsoft Windows 98 SE, or on Microsoft Windows Millennium Edition
◈ 영향
공격자는 취약점을 이용하여 Internet Explorer를 크래쉬(crash)시킬 수 있으며, 임의의 코드 실행을 통해 시스템의 완전히 제어권을 획득할 수 있다.
◈ 설명
해당 취약점은 "createTextRange()" 메쏘드 상에서 발생하는 프로그램 디자인상의 오류이다.
이 "createTextRange()"는 선택한 범위 또는 문서 전체 영역을 하나의 객체로 만들어 이 안에서 다양한 문자열 조작 및 태그의 변형을 가능하게 만드는 TextRange 객체를 생성하는 DHTML(dynamic HTML) 메쏘드이다.
* Microsoft Internet Explorer createTextRange() Code Execution (CVE-2006-1359)
공격자는 해당 취약점을 이용하는 악의적인 웹 페이지를 작성하여, 웹 사이트를 통해 사용자의 방문을 유도하거나, 해당 웹 페이지와 연결된 악의적인 링크를 E-Mail 또는 메신저를 통해서 전달하는 방법으로 해당 취약점을 도용할 수 있다.
실제 공격 코드에서는 "createTextRange()" 메쏘드를 호출하는 과정에서 대량의 데이터(NOP+Shellcode)로 Heap 메모리 영역을 채우도록 만든다. 이 과정에서 시스템의 메모리 사용이 급격하게 증가하는 모습을 확인할 수 있다.
75BB1E24 SHR ECX,2
75BB1E27 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI] ** 데이터 복사
ECX 레지스터의 잘못된 디레퍼런스(dereference)로 인하여, 시스템의 EIP 레지스터 값이 존재하지 않거나 또는 임의의 특정 메모리 값으로 덮어쓰기(Overwrite) 된다.
그 결과, Internet Explorer가 앞서 Heap 메모리에 채워진 NOP+Shellcode 부분을 가리키게 되고 공격자가 삽입해 놓은 임의의 코드를 실행하게 되는 것이다.
7D5322B1 MOV ECX,DWORD PTR DS:[EDI]
7D5322B3 PUSH EAX
7D5322B4 PUSH mshtml.7D4A1CA8
7D5322B9 PUSH EDI
7D5322BA CALL DWORD PTR DS:[ECX]
◈ 차단정보
트러스가드(TrusGuard)는 해당 취약점의 알려진 공격에 대응하고 있다.
◈ 해결책
현재 해당 취약점에 대한 마이크로소프트사의 정식 패치는 제공되고 있지 않다.
임시 조치 방법은 다음과 같다.
1. 인터넷과 로컬 인트라넷 보안 영역에서 Active Scripting을 해제하거나 또는 사용자의 확인을 받도록 Internet Explorer의 보안 설정을 수정한다.
2. 해당 취약점이 존재하지 않는 인터넷 익스플러 외의 타 브라우저(모질라 파이어폭스, 오페라)를 사용하도록 한다.
위의 알려진 공격에 대한 임시적인 방어책은 근본적인 해결책이 되지 않으므로 정식 패치가 릴리즈되면 반드시 시스템에 적용하여야 한다.
Microsoft Security Advisory(영문)
http://www.microsoft.com/technet/security/advisory/917077.mspx
