◈ 제목
MSDTC 및 COM+의 취약점으로 인한 원격 코드 실행 문제점 (902400)
◈ 개요
MSDTC(Microsoft Distributed Transaction Coordinator)의 검사되지 않은 버퍼로 인해 원격 코드 실행 및 로컬 권한 상승 취약점이 존재한다. 이 취약점을 악용한 공격자는 프로그램의 설치, 보기, 변경, 데이터 삭제등과 같은 권한을 얻게 되어 시스템을 완전히 제어할 수 있게 된다.
◈ 공격유형
취약점을 이용한 버퍼오버플로우(Buffer Overflow)공격
취약점을 이용한 원격 코드 실행
취약점을 이용한 로컬 권한 상승
◈ 해당시스템
Microsoft Windows 2000 서비스 팩 0 ~ 4
Microsoft Windows XP 서비스 팩 1
Microsoft Windows XP Professional x64 Edition
Microsoft Windows Server 2003
◈ 영향
공격자는 취약점을 이용하여 원격 코드 실행 또는 로컬 권한 상승이 가능하다. 관리자 권한을 획득한 공격자는 시스템을 완전히 제어할 수 있게 되어 시스템이 위험에 노출되게 된다.
◈ 설명
MSDTC(Microsoft Distributed Transaction Coordinator)에서 메시지를 할당된 버퍼로 전달할 때 오버플로우가 일어나면 취약점이 존재하는 것으로 공격자는 시스템을 제어할 수 있는 모든 권한을 얻을 수 있게 된다.
Windows 2000 시스템은 인증을 거치지 않은 익명의 사용자 접근을 허용하므로 취약점을 이용한 패킷을 수신하게 되면 원격 코드가 실행될 수 있으며, Windows XP 서비스 팩 1 및 Windows Server 2003 시스템은 기본적으로 MSDTC 서비스가 시작되지 않는다. 만일 서비스를 수동으로 시작한다면 공격자가 유효한 로그온 정보를 통해 인증을 거친 이후 로컬권한이 상승할 수 있다.
Windows 2000 서비스 팩 0~4 : 원격코드 실행 (긴급)
Windows XP 서비스 팩 1 : 로컬권한 상승 (중요)
Windows XP 서비스 팩 2 : 취약점 없음 (N/A)
Windows Server 2003 : 로컬권한 상승 (중요)
Windows Server 2003 서비스 팩 1 : 취약점 없음 (N/A)
시스템에서 MSDTC 서비스가 실행 중이면 다음 포트가 열리고 대기(LISTEN)상태가 된다.
- 3372/TCP (MSDTC 기본 서비스 포트)
- 1025/TCP (서비스 자동시작 설정 시)
- 1030/TCP (서비스 수동시작 설정 시)
현재 이 권고문을 작성하는 시점까지 이를 이용하는 공격코드는 2가지 형태가 알려져 있으며, 특징적인 정보는 다음과 같다.
RPC(Remote Procedure Call) Server 의 DTC 요청은 MSDTCPRX.DLL (현재 인터페이스 버전은 V1.0 {906B0CE0-C70B-1067-B317-00DD010662DA}) 파일에서 처리하는데, 이를 위해서 ‘VirtualAlloc’ 공간으로 4KB 를 할당한다. 이를 초과한 데이터는 인접한 메모리에 덮어쓸 수 있게 되고 MSDTCPRX 함수가 이를 처리할 때 취약점이 발생한다.
0x05 : Major version number
0x00 : Minor version number
0x00 : PDU(Protocol Data Unit) Packet type (0x00 : request)
0x10 00 00 00 : Data representation DTC RPC는 part1/part2 구성되며 Data representation정보(16byte 이내:part1)는 part2 에 종속됨(과도한 범위) 0x07 00 Opnum
위 포맷 구조에 따라 공개된 공격코드는 ‘Data representation’ 값이 과도하게 큰 값으로 설정되고 버퍼로 전달되기 전 메시지 길이의 유효성 검사과정이 생략되어 오버플로우가 발생하여 취약점이 일어나게 된다.
◈ 차단정보
- 트러스가드(TrusGuard)는 해당 취약점에 알려진 공격에 대응하고 있다.
◈ 해결책
마이크로소프트사에서 제공하는 패치를 적용함으로써 해당 취약점을 제거할 수 있으며, 운영체제별로 해당하는 패치를 다운받아 설치하면 된다.
한글 업데이트 정보
http://www.microsoft.com/korea/technet/security/bulletin/MS05-051.mspx
영문 업데이트 정보
http://www.microsoft.com/technet/security/bulletin/MS05-051.mspx
