◈ 제목
그래픽 렌더링 엔진 취약점
◈ 개요
그래픽 렌더링 엔진에 취약점이 존재하여 원격코드 실행 또는 서비스거부 공격이 가능하다. 윈도우 메타파일(WMF)및 확장 메타파일(EMF)이미지 형식이 렌더링 될 때 임의의 코드가 실행될 수 있는 취약점이 존재한다. 이 취약점을 악용한 공격자는 프로그램의 설치, 보기, 변경, 데이터 삭제등과 같은 권한을 얻게 되어 시스템을 완전히 제어할 수 있게 된다.
◈ 공격유형
버퍼 오버플로우 (Buffer Overflow)공격
서비스 거부(Denial of Service)공격
◈ 해당시스템
Microsoft Windows 2000 서비스 팩 4
Microsoft Windows XP 서비스 팩 1 및 Microsoft Windows XP 서비스 팩 2
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003 및 Microsoft Windows Server 2003 서비스 팩 1
Microsoft Windows Server 2003 (Itanium 기반 시스템용) 및 Microsoft Windows Server 2003 SP1 (Itanium 기반 시스템용)
Microsoft Windows Server 2003 x64 Edition
◈ 영향
공격자는 취약점을 이용하여 시스템의 관리자 권한의 획득 또는 DoS 상태를 유발할 수 있다. 관리자 권한을 획득한 공격자는 시스템을 완전히 제어할 수 있게 되어 시스템이 위험에 노출되게 된다.
◈ 설명
원격에서 코드를 실행할 수 있는 취약점이 존재하는 것으로 공격자는 시스템을 제어할 수 있는 모든 권한을 얻을 수 있게 된다. 이 취약점은 WMF,EMF 이미지 형식의 파일이 렌더링 될 때 발생할 수 있는 것으로 악의적인 웹 사이트 방문을 유도하거나, 특수하게 조작된 이미지를 첨부하여 메일을 발송하는 등 다양한 형태로 사용자에게 접근을 유도하여 공격에 이용할 수 있다. MS05-053 의 보안패치에는 3가지의 취약점이 존재하며 그래픽 렌더링 엔진과 WMF 파일에는 원격코드의 실행이 가능하며 EMF 파일은 DoS 상태 유발만 가능하다.
1)CAN-2005-2123 Graphics Rendering Engine 원격코드 실행
2)CAN-2005-2124 Windows Metafile Vulnerability 원격코드 실행
3)CAN-2005-0803 Enhanced Metafile Vulnerability 서비스 거부
현재 이 권고문을 작성하는 시점까지 이를 이용하는 악성코드 및 공격코드등 2가지 형태가 알려져 있다.
사례 1] EMF 이미지 파일을 이용한 악성코드
접수된 샘플은 EMF 포맷 파일로 탐색기(Explorer.exe)에서 이미지 미리보기(Preview)시 탐색기가 종료되는 현상을 가지고 있다. 이 원인은 GetEnhMetaFilePaletteEntries() API를 Call 하는 과정에서 발생하는 것으로 EMF 파일에서 정보를 얻을 때 EMF 파일의 끝 지점을 얻게 되는데 해당 값이 파일 내에서 조작되어 있어 Access Violation 이 발생하여 탐색기가 종료되게 된다.
77F6E298 03D1 ADD EDX,ECX
77F6E29A 8BC8 MOV ECX,EAX
77F6E29C 2B52 FC SUB EDX,DWORD PTR DS:[EDX-4]
; EMF 파일의 파일 끝 Offset 을 찾는다
77F6E29F 8B72 0C MOV ESI,DWORD PTR DS:[EDX+C]
; Access violation 일어나는 지점
이것은 서비스거부 형태에 해당한다.
사례 2] WMF 개념증명코드(PoC:Proof of Concept) 공개
WMF 는 EMF 포맷 파일과 달리 원격코드 실행 또한 가능하다. 공개된 PoC는 DoS 에만 한정되어 있다.
WMF 파일은 몇 가지 방식으로 조합될 수 있는데 공격 코드에서 사용된 것은 것은 Placeable metafile 이 앞쪽에 위치한 방법이다. 메타파일은 다음과 같은 구조를 가지게 된다.
- Microsoft Windows Metafile-1: Standard metafile format
- Microsoft Windows Metafile-2: Placeable metafile format
- Microsoft Windows Metafile-3: Clipboard metafile format
- Microsoft Windows Metafile-4: Enhanced metafile format
즉, Placeable metafile + Standard metafile + MetafileRecode 가 붙는 파일 구조를 갖고 있다.
포맷 구조에 따라 공개된 공격코드는 ‘메타파일 사이즈’ 와 ‘레코드 사이즈’ 값이 임의의 큰 값으로 정의되어 있다. 만약 탐색기에서 해당 파일을 선택하여 미리보기를 하게 되면 CPU 가 50% 이상의 점유율을 차지하게 되는데 크게 2개의 스레드(Thread)에 의해 발생한다. 메타파일에 의해 계속 동작중인 형태와 다른 하나를 탐색기에서 결과에 대한 메시지를 받기 위한 것으로 계속 반복상태(Loop status)에 놓여 DoS 가 가능하게 되는 것이다.
◈ 차단정보
- 트러스가드(TrusGuard)는 해당 취약점에 알려진 공격에 대응하고 있다.
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/Bulletin/MS05-053.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/bulletin/MS05-053.mspx
