◈ 제목
ASN .1의 취약점으로 인한 코드 실행 문제(828028)
◈ 개요
Microsoft ASN.1 Library에 검사되지 않은 버퍼로 인하여 버퍼오버플로우 취약점이 존재하여, 해당 시스템에 원격 코드 실행 또는 서비스거부 공격이 가능하다. 이 취약점을 악용한 공격자는 프로그램의 설치, 보기, 변경, 데이터 삭제등과 같은 권한을 얻게 되어 시스템을 완전히 제어할 수 있게 된다
◈ 공격유형
취약점을 이용한 버퍼오버플로우(Buffer Overflow)공격
취약점을 이용한 원격 코드 실행
◈ 해당시스템
Microsoft Windows NT Server 4.0, 서비스 팩 6a
Microsoft Windows NT Server 4.0, Terminal Server Edition, 서비스 팩 6
Microsoft Windows 2000 서비스 팩 2, 서비스 팩 3, 서비스 팩 4
Microsoft Windows XP, Microsoft Windows XP 서비스 팩 1
Microsoft Windows XP 64-Bit Edition, Microsoft Windows XP 64-Bit Edition 서비스 팩 1
Microsoft Windows XP 64-Bit Edition Version 2003
Microsoft Windows Server 2003
Microsoft Windows Server 2003 64-Bit Edition
◈ 영향
공격자는 취약점을 이용하여 시스템의 관리자 권한의 획득 또는 DoS 상태를 유발할 수 있다. 관리자 권한을 획득한 공격자는 시스템을 완전히 제어할 수 있게 되어 시스템이 위험에 노출되게 된다.
◈ 설명
ASN.1(Abstract Syntax Notation 1)은 다양한 플랫폼을 통해 전달되는 데이터를 정규화하고 인식하기 위해 IT 분야의 많은 응용 프로그램과 장치에서 사용하는 데이터 표준이며,
ASN.1은 특정 표준, 인코딩 방법, 프로그래밍 언어 또는 하드웨어 플랫폼과 직접적인 관련이 없으며 단순히 표준을 정의하는 언어이다.
이 취약점은 버퍼 오버플로우를 발생시킬 수 있는 Microsoft ASN.1 Library의 검사되지 않은 버퍼로 인해 발생한다. 원격에서 코드를 실행할 수 있는 취약점이 존재하는 것으로 공격자는 시스템을 제어할 수 있는 모든 권한을 얻을 수 있게 된다.
ASN.1 Overflow Vulnerability (CAN-2003-0818)
현재 이 권고문을 작성하는 시점까지 이를 이용하는 악성코드 및 공격코드등이 알려져 있으면, 특히 이 취약점을 이용하는 악성코드의 대부분이 IRCBot으로 보고되고 있다.
취약점이 존재하는 코드는 msasn1.dll 의 아래와 같은 함수들이다.
ASN1BerDecCharString
ASN1BERDecChar16String
ASN1BERDecChar32String
ASN1BERDecEoid
ASN1BERDecGeneralizedTime
ASN1BERDecMultibyteString
ASN1BERDecOctetString
ASN1BERDecOpenType
ASN1BERDecSXVal
ASN1BERDecUTCTime
ASN1BERDecUTF8String
ASN1BERDecZeroCharString
ASN1BERDecZeroChar16String
ASN1BERDecZeroChar32String
ASN1BERDecZeroMultibyteString
msasn1.dll 은 lsass.exe 와 crypto32.dll 에서 사용이 되고 또한, Kerberos, NTLMv2 인증, SSL 의 인증시에도 사용이 된다. 공격의 원인이 되는 것은 lsass.exe 이다.
아래는 취약점을 이용하는 웜 패킷의 일부이다.
0030 fa 93 5c 7e 00 00 ff 53 4d 42 73 00 00 00 00 18 ..\~...SMBs.....
0040 07 c8 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
0050 37 13 00 00 00 00 0c ff 00 00 00 04 11 0a 00 00 7...............
0060 00 00 00 00 00 7e 10 00 00 00 00 d4 00 00 80 7e .....~.........~
0070 10 60 82 10 7a 06 06 2b 06 01 05 05 02 a0 82 10 .`..z..+........
0080 6e 30 82 10 6a a1 82 10 66 23 82 10 62 03 82 04 n0..j...f#..b...
0090 01 00 41 41 41 41 41 41 41 41 41 41 41 41 41 41 ..AAAAAAAAAAAAAA
00a0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
00b0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
00c0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
00d0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
00e0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
00f0 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0100 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0110 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0120 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0130 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0140 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0150 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
0160 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA
◈ 차단정보
트러스가드(TrusGuard)는 해당 취약점에 알려진 공격에 대응하고 있다
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/bulletin/MS04-007.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/bulletin/MS04-007.mspx
