위험도: 상
공격유형: 원격에서 MDAC서비스를 운영중인 시스템에 관리자 권한 획득 및 명령 실행
공격설명:
MDAC(Microsoft Data Access Components)는 원격 데이터베이스에 연결하고 클라이언트에 데이터를 반환하는 것과 같은 다양한 데이터베이스 작업에 대한 기본 기능을 제공하는 컴포넌트이다. 네트워크에 존재하는 클라이언트 시스템은 SQL Server를 실행하고 있거나, 네트워크에 있는 컴퓨터의 목록을 보려고 할 때, 네트워크에 있는 모든 장치에 브로드캐스트 요청을 보낸다. 이때 악의적인 공격자는 특정 MDAC 구성 요소의 취약점을 이용하여 버퍼 오버런을 일으키는 특수 패킷을 보내 요청에 응답한다. 결과적으로 공격자는 이 취약점을 악용하여 해당시스템에서 브로드캐스트한 프로그램이 실행된 권한과 동일한 권한을 획득하여 임의 명령을 수행할 수 있다.
취약시스템:
Microsoft Data Access Components 2.5 (Microsoft Windows 2000에 포함)
Microsoft Data Access Components 2.6 (Microsoft SQL Server 2000에 포함)
Microsoft Data Access Components 2.7 (Microsoft Windows XP에 포함)
Microsoft Data Access Components 2.8 (Microsoft Windows Server 2003에 포함)
취약 운영체제:
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Server
Microsoft Windows Server 2003 Datacenter Edition
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Web Edition
Microsoft Windows XP Home Edition
Microsoft Windows XP Professional
취약 MDAC 버전:
취약점은 MDAC 2.5와 2.6와 2.7와 2.8에 영향을 미친다. 아래 레지스트리 키 값에서 확인 가능하다
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDataAccessFullInstallVer
공격대상 서버포트: 1434/UDP
공격영향: 접근권한을 획득하여 임의 명령을 수행 할 수 있다.
해결방안:
1. inbound 트래픽을 허용하지 못하도록 1434/UDP를 차단한다.
이와 같이 설정한 경우 SQL 클라이언트 시스템이 SQL 브로드캐스트 하지 않는다.
예) Windows 2000 기반 컴퓨터에서 발생한 네트워크 트래픽이 UDP 1434에서 해당 호스트로 인바운드되는 것을 차단할 경우 ipsecpol -w REG -p "Block UDP 1434 Filter" -r "Block Inbound UDP 1434 Rule" -f *=0:1434:UDP -n BLOCK -x
2. 다음 사이트를 이용하여 보안업데이트 한다.
http://www.microsoft.com/korea/technet/security/bulletin/ms04-003.asp
참고자료:
http://www.microsoft.com/korea/technet/security/bulletin/ms04-003.asp
http://www.ciac.org/ciac/bulletins/o-053.shtml
취약점 발표일: 2004-01-14
|
