◈ 제목
MS Windows 2000 WebDAV Buffer-Overflow 취약점
◈ 개요
WebDAV(Web Distributed Authoring and Versioning)는 IIS 5.0설치 시 기본값으로 활성화되는 요소로써 인증된 사용자들이 원격에서 웹 서버의 컨텐츠 관리를 가능하게 한다.
WebDAV를 사용하여 호출할 수 있는 구성 요소의 매개변수 처리 과정의 오류를 이용한 Buffer-Overflow 취약점이 발견되었다. 공격자는 IIS 5.0이 운영되는 Windows System에 악의적인 코드를 포함한 WebDAV 요청을 전송함으로써 Administrator 권한을 획득할 수 있다.
◈ 공격유형
시스템 취약점을 이용한 Buffer-Overflow 공격
◈ 해당시스템
IIS 5.0을 사용하는 Windows 2000 시스템
NT 4.0과 Windows XP에서 운영되는 IIS에는 취약점이 존재하지 않음
◈ 영향
공격자는 악의적인 코드를 실행함으로써 웹 서버에 대한 Administrator 권한 획득이 가능하고 결과적으로 웹 페이지의 변조와 같은 System 내부 자원의 변경이나 사용자 추가 등 공격자가 의도하는 모든 행위가 가능하다.
◈ 설명
WebDAV는 원격에서의 파일 관리를 위한 표준을 제공하는 HTTP의 확장된 형태로 Microsoft사의 제품들 중 Windows 2000 이상의 버전에서 이를 지원한다.
WebDAV를 사용해서 호출할 수 있는 구성 요소에 Buffer-Overflow 취약점이 존재하고 공격자는 이를 악용하여 WebDAV에 특수하게 만들어진 HTTP 요청을 전송함으로써 Administrator 권한을 획득할 수 있다.
WebDAV 요청이 HTTP를 통해 전달되기 때문에 Web 서버를 운영하는 모든 시스템이 공격의 대상이 될 수 있으므로 IIS5.0을 운영하는 Windows 2000 시스템은 반드시 해당 취약점에 대한 패치를 적용할 것을 권고한다.
이 취약점은 Windows 2000에서만 발견되었으며 NT4.0과 Windows XP는 해당되지 않는다.
◈ 해결책
IIS5.0은 Windows 2000서버 제품군의 설치 시 기본으로 설치되나 사용하지 않는 경우 삭제하는 것이 바람직하다.
- 이 취약점에 대한 패치는 아래의 사이트에서 제공한다.
http://www.microsoft.com/downloads/details.aspx?displaylang =ko&FamilyID=C9A38D45-5145-4844-B62E-C69D32AC929B
- Windows 서버에서 IIS가 불필요한 경우
1. IIS Lockdown 툴을 이용하여 IIS를 비활성화 시킬 수 있다.
→
http://www.microsoft.com/downloads/release.asp?ReleaseID=43955
2. 다음과 같은 방법으로 IIS와 관련된 프로세스를 정지시킬 수 있다.
→
http://support.microsoft.com/default.aspx?scid=kb;ko;321141
- IIS를 운영하나 WebDAV가 불필요한 경우
1. IIS Lockdown 툴을 이용하여 사용하지 않는 서비스를 비활성화 시킬 수 있다.
→
http://support.microsoft.com/default.aspx?scid=kb;ko;325864
2. 다음과 같은 방법으로 Registry를 변경함으로써WebDAV를 정지시킬 수 있다.
→
http://support.microsoft.com/default.aspx?scid=kb;ko;241520
- WebDAV의 이용이 필요한 경우
1. IIS에서 클라이언트 요청에 대한 Buffer 사이즈를 Registry에서 조절함으로써 취약점으로 인한 피해를 예방할 수 있다.
→
http://support.microsoft.com/default.aspx?scid=kb;ko;260694
2. URL Scan 툴을 이용하여 잘못된 형태의 웹 요청을 차단할 수 있다.
→
http://www.microsoft.com/technet/security/tools/tools/urlscan.asp
