◈ 제목
MS Excel 'msvcrt.memmove()' 함수 버퍼 오버플로우 취약점
◈ 개요
Microsoft Office Excel에는 msvcrt.memmove() 함수 상에서 발생하는 스택 기반(Stack-Based)의 버퍼 오버플로우 취약점이 존재한다. 해당 취약점은 XLS 파일을 파싱하는 과정에서 msvcrt.memmove() 함수의 파라미터 값을 적절하게 검사하지 않아 발생한다. 공격자는 악의적인 XLS 파일을 통하여 Excel 프로그램을 크래쉬(crash)시키거나 나아가 임의의 코드를 실행할 수도 있다.
◈ 공격유형
취약점을 이용한 서비스 거부 또는 원격 코드 실행
◈ 해당시스템
Microsoft Office Word 2000 Service Pack 3
Microsoft Office Excel 2000 Service Pack 3
Microsoft Office Outlook 2000 Service Pack 3
Microsoft Office PowerPoint 2000 Service Pack 3
Microsoft Office 2000 MultiLanguage Packs Service Pack 3
Microsoft Office XP Word 2002 Service Pack 3
Microsoft Office XP Excel 2002 Service Pack 3
Microsoft Office XP Outlook 2002 Service Pack 3
Microsoft Office XP PowerPoint 2002 Service Pack 3
Microsoft Office XP Multilingual User Interface Packs Service Pack 3
Microsoft Office Excel 2003 Service Pack 1 or Service Pack 2
Microsoft Office Excel 2003 Viewer Service Pack 1 or Service Pack 2
Microsoft Works Suite 2000
Microsoft Works Suite 2001
Microsoft Works Suite 2002
Microsoft Works Suite 2003
Microsoft Works Suite 2004
Microsoft Works Suite 2005
Microsoft Works Suite 2006
Microsoft Excel X for Mac
Microsoft Excel 2004 for Mac
◈ 영향
공격자는 취약점을 이용하여 Microsoft Excel을 크래쉬(crash)시킬 수 있으며, 공격자가 원하는 임의의 코드를 실행할 수 있다.
◈ 설명
해당 취약점은 "Named Range"가 정의되어 있는 XLS 파일 속에서 발생한다.
"Named Range"는 Microsoft Excel 프로그램에서 단일 Cell 또는 다수의 Cell 범위를 특정 이름(Name)으로 정하고 이를 반복적으로 사용하기 위해 제공하되는 기능이다.
일반적으로 "CELLTEST" 라는 이름으로 정의된 Named Range는 XLS 파일 속에서 다음과 같이 나타난다.
0000084D 00 00 00 00 00 00 00 00 00 00 00 00 06 00 53 68 65 |.............She|
0000085E 65 74 33 8c 00 04 00 52 00 52 00 ae 01 04 00 03 00 |eet3............|
00000880 00 00 00 00 08 0B * 00 00 00 00 00 00 00 00 00 43 |...............C|
00000891 45 4c 4c 54 45 53 54 3b 00 00 01 00 06 00 02 00 02 |ELLTEST;........|
MS Excel에서는 우선 XLS 파일 속에 정의된 "Named Range" 데이터 중 처리할 Named Range 데이터의 크기를 결정하기 위해 "0B *" 값을 읽어들인다.
300CD83D MOVSX EAX,WORD PTR DS:[ESI+4]
그러나, MOVSX 명령은 sign-extended 처리 명령이기 때문에 읽어들인 값 중 * 부분에 80(binary 111000) 이상의 값이 존재할 경우, 결과적으로 FFFF*0B 형태의 큰 32비트 음수값으로 변환된다. 이 값은 다음 msvcrt.memmove() 함수의 size 파라미터 값으로 전달되어 그 크기만큼 데이터를 복사하게 된다.
30002B54 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI] ** 데이터 복사
void * memmove ( void * dest, const void * src, size_t num );
memmove() 함수는 읽어들일 데이터의 크기를 검사하지 않고 메모리가 허용하는 한 계속 데이터를 복사하기 때문에, size에 지나치게 큰 FFFF*0B(32비트 음수)값이 제공되는 경우 오버플로우가 발생하게 된다.
실제 XLS 파일에서 * 부분에 0x80 값을 사용하여 테스트해 보면, size 값이 FFFF800B 이 되어 Read 권한만 할당된 공간인 0x00140000 에 데이터를 복사하려는 시도로 인하여 Access Violation 이 발생하게 된다.
그러나, 아직 해당 취약점을 이용하여 코드 실행이 가능하도록 만드는 공격 코드는 공개되지 않았다.
해당 취약점은 "fearwall(판매자명)"에 의해 경매 사이트 eBay에 판매를 위해 게시되기도 했으며, 입찰가는 $53 달러에 이르렀다고 한다.
http://www.eweek.com/article2/0,1759,1899697,00.asp?kc=EWRSS03129TX1K0000614
* Microsoft Office Excel Remote Code Execution Using a Malformed Range Vulnerability(CVE-2005-4131)
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/Bulletin/MS06-012.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/Bulletin/MS06-012.mspx
