◈ 제목
Microsoft RPC Endpoint Mapper 서비스 거부 공격 취약점
◈ 개요
RPC(Remote Procedure Call)는Windows 시스템에서 IPC를 이용한 시스템간의 통신에 사용되는 Protocol이다. 네트워크에서 RPC 요청을 받는 클라이언트는 RPC Endpoint Mapper를 사용하여 현재 특정 RPC 서비스에 할당된 포트번호를 파악한다.
RPC Endpoint Mapper에서 비정상적인 형태의 TCP/IP를 통한 메시지 처리 방식에 결함을 가지고 있는 것으로 밝혀졌다. 공격자가 이 취약점을 악용하여 취약점을 가지고 있는 시스템에 대한 서비스 거부 공격을 시도할 경우 대상 시스템이 정지되는 등의 피해를 당할 수 있다.
◈ 공격유형
시스템 취약점을 이용한 서비스 거부(Denial of Service) 공격
◈ 해당시스템
Microsoft Windows NT 4.0
Microsoft Windows 2000
Microsoft Windows XP
◈ 영향
공격자는 이러한 취약점을 악용하여 서비스 거부 공격을 시도할 수 있고 그 결과 RPC기반 서비스에 대한 손실을 가져올 수 있다. 그러나 시스템 내부 데이터에 대한 접근이나 코드 실행은 불가능하다.
◈ 설명
RPC는 네트워크의 다른 컴퓨터에 있는 프로그램의 서비스를 요청하기 위해 사용되는 Protocol이다.
취약점은 135 포트를 수신 대기하는 RPC Endpoint Mapper 프로세스에서 비정상적인 형태의 TCP/IP 메시지를 처리하는 과정에서 발견되었다.
공격자는 서비스 거부 공격을 실행하기 위해 대상 시스템에 대해 TCP Connection을 맺은 후 RPC 서비스에 잘못된 형태의 메시지를 전송함으로써 RPC 기반 서비스에 대한 손실을 가져오고 일부 COM 기능에도 영향을 줄 수 있다.
◈ 해결책
Microsoft 에서 제공하는 패치를 다운받아 이를 적용하도록 한다.
Microsoft Windows 2000
http://www.microsoft.com/downloads/details.aspx?FamilyId=BD55EB38-A5DE-4810-90F7-097C5B4B9919&displaylang=ko
Microsoft Windows XP
- 32-Bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=94213569-3258-4439-9AE7-5D86813B4D9E&displaylang=ko
- 64-bit Edition(영어버전)
http://www.microsoft.com/downloads/details.aspx?FamilyId=E3FB88CF-FA48-4426-A4F8-D18D8D4D2295&displaylang=en
Microsoft NT4.0에 대한 패치파일은 제공하지 않는다.
Firewall에서 135 포트에 대한 접근을 막는 것도 해당 취약점에 대한 외부로부터의 공격을 막는 방법이 될 수 있으나 내부 네트워크에서의 공격에 대한 대책이 없으므로 반드시 패치를 실시하도록 한다.
Microsoft에서는 Microsoft NT4.0에 대한 패치파일은 제공하지 않는다. 따라서 OS의 결함에 대한 근본적인 해결은 불가능하나 Personal Firewall과 같은 제품을 사용하여 원격에서의 135 포트에 대한 접근을 통제하는 방법으로 해당 취약점으로부터 시스템을 보호할 수 있다.
