◈ 제목
플러그앤플레이 버퍼 오버플로우 취약점
◈ 개요
플러그 앤 플레이(Plug and Play:PnP)서비스에 버퍼를 올바르게 체크하지 않아 버퍼오버플로우(Buffer Overflow) 취약점이 존재한다. 특정 윈도우 시스템 경우는 기본 서비스로 외부의 위협에 노출될 가능성이 매우 높다. 이 취약점을 악용한 공격자는 프로그램의 설치, 보기, 변경, 데이터 삭제등과 같은 권한을 얻게 되어 시스템을 완전히 제어할 수 있게 된다.
◈ 공격유형
버퍼 오버플로우 (Buffer Overflow)공격
◈ 해당시스템
Microsoft Windows 2000 서비스 팩 4
Microsoft Windows XP 서비스 팩 1 및 Microsoft Windows XP 서비스 팩 2
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003 및 Microsoft Windows Server 2003 서비스 팩 1
Microsoft Windows Server 2003 (Itanium 기반 시스템용) 및 Microsoft Windows Server 2003 SP1 (Itanium 기반 시스템용)
Microsoft Windows Server 2003 x64 Edition
◈ 영향
공격자는 취약점을 이용하여 시스템의 관리자 권한을 획득할 수 있다. 관리자 권한을 획득한 공격자는 시스템을 완전히 제어할 수 있게 되어 시스템이 위험에 노출되게 된다.
◈ 설명
플러그 앤 플레이(PnP)서비스의 검사되지 않은 버퍼로 인하여 취약점이 존재한다. 플러그 앤 플레이는 시스템에 새 하드웨어를 설치하는 경우 운영체제가 이를 발견할 수 있도록 해 주는 것으로 기본적으로 사용되는 것이므로 필수적으로 패치를 적용할 것을 권고한다. 이 취약점을 통해 Windows 2000 시스템이 공격받을 가능성이 가장 높으며 Windows XP 서비스팩 1,2 의 경우는 로그온 자격을 가지고 있어야 하기 때문에 Windows XP 보다는 Windows 2000을 대상으로 공격 또는 악성코드의 사용이 예상시 되었던 취약점이었다.
현재 이 권고문을 작성하는 시점까지 이를 이용하는 악성코드 및 공격코드등이 보고되었으며, 이 취약점을 이용하면 공격자는 시스템을 제어할 수 있는 모든 권한을 얻을 수 있게 된다. 몇 가지의 공격코드가 인터넷에 공개되어 있는 만큼 윈도우 사용자는 반드시 패치를 적용하도록 한다. 특히 윈도우 2000 의 시스템은 직접적인 공격 대상이 될 수 있으므로 주의가 필요하다.
공개된 공격코드는 TCP 445 번으로 접속하여 SMB 세션을 맺고 조작된 악의적인 패킷을 보내 임의의 명령어를 실행한다. 이때 사용하는 UUID(Universal Unique Identifiers) 값은 다음과 같다.
PnP UUID: 8d9f4e40-a03d-11ce-8f69-08003e30051b
접속에 성공하게 되면 다음과 같이 원격에서 명령어 실행창을 띄울 수가 있다.
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.
C:\WINNT\system32>
참고로 공격코드에서 사용된 쉘 코드는 특정 포트번호로 바인딩(Binding)하여 주는 것으로 다음의 코드와 같이 디코더 루틴을 가지고 있고 0x3704F519로 XOR 되어 있다. 즉, 공격에 성공하게 되면 특정포트로 명령어 실행창이 특정 포트번호로 바인딩 되어 공격자는 모든 명령어 실행이 가능하게 된다.
# 00402000 29C9 SUB ECX,ECX
# 00402002 83E9 B0 SUB ECX,-50
# 00402005 D9EE FLDZ
# 00402007 D97424 F4 FSTENV (28-BYTE) PTR SS:[ESP-C]
# 0040200B 5B POP EBX
# 0040200C 8173 13 19F50437 XOR DWORD PTR DS:[EBX+13],3704F519
# 00402013 83EB FC SUB EBX,-4
# 00402016 ^E2 F4 LOOPD SHORT a.0040200C
ASEC 에서는 예상대로 공격코드 공개 후 웜의 출현을 예상하였고, 2틀뒤에 실제로 Zotob 웜이 나타났다. 이전의 블래스터(Blaster)만큼의 큰 영향을 주지는 못하였지만 취약점이 공개된 후 이를 이용하는 악성코드가 나오기까지의 시간이 점점 짧아짐을 보여주고 있다. 다음은 날짜별로 취약점 발표와 악성코드까지의 시간을 기록한 것이다.
2005/08/09 MS05-039 권고문 MS 에서 공개
2005/08/11 MS05-039 첫번째 공격코드 발견
2005/08/11 MS05-039 두번째 공격코드 발견 - 사용빈도 낮은 공격코드
2005/08/12 MS05-039 첫번째 공격코드 분석, 한국시간
2005/08/12 MS05-039 세번째 공격코드 발견 (악성코드에서 이용한 코드)
2005/08/14 Zotob.A 웜 발견 (14일 밤)
2005/08/14 Zotob.B
2005/08/15 Zotob.C - Mass Mailer 기능 포함
다시 한번 이번 취약점 공개와 함께 해당 공격코드는 악의적으로 이용될 가능성이 높은 만큼 MS05-039 패치를 반드시 적용할 것을 권고한다.
◈ 차단정보
- 트러스가드(TrusGuard)는 해당 취약점에 알려진 공격에 대응하고 있다.
(Zotob 웜이 발견되기 이전에 트러스가드는 사전차단을 하고 있었다)
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/Bulletin/MS05-039.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/bulletin/MS05-039.mspx
