Microsoft Security Bulletin MS03-026

Microsoft TechNet - 보안 > Microsoft Security Bulletin MS03-026

RPC 인터페이스의 버퍼 오버런으로 인한 코드 실행 문제

처음 게시된 날짜: 2003년 7월 16일

개정된 날짜: 2003년 7월 27일

요약

이 내용을 읽어야 할 사람:

취약점으로 인한 영향:

최대 위험 등급:

권장 사항:

최종 사용자 게시판:

http://www.microsoft.com/korea/technet/security/bulletin/security_bulletins/ms03-026.asp

영향을 받는 소프트웨어:

Microsoft Windows NT 4.0
Microsoft Windows NT 4.0 Terminal Server Edition
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows Server 2003

영향을 받지 않는 소프트웨어:

Windows 98
Windows 98 SE
Microsoft Windows Millennium Edition

기술 세부 사항

기술적 설명:

원격 프로시저 호출(RPC)

DCOM(Distributed Component Object Model)

예방 방법:

이 취약점을 악용하려면 침입자는 특수하게 만든 요청을 원격 시스템의 135, 139, 445 포트 또는 원격 컴퓨터에서 RPC 포트로 사용하도록 지정된 포트로 보낼 수 있어야 합니다. 인트라넷 환경에서는 일반적으로 이들 포트에 액세스할 수 있지만 인터넷에 연결된 시스템에서는 보통 방화벽으로 차단됩니다. 이 포트들이 차단되지 않은 경우나 인트라넷 구성에서는 침입자에게 아무런 추가 권한도 필요하지 않습니다.
가장 좋은 방법은 실제로 사용하지 않는 모든 TCP/IP 포트를 차단하는 것입니다. 이런 이유로 인터넷에 연결된 모든 컴퓨터에서 TCP나 UDP에서 RPC 사용을 차단해야 합니다. TCP와 UDP를 통한 RPC는 인터넷과 같이 보안에 취약한 환경에서 사용하도록 설계된 프로토콜이 아닙니다. 보안에 취약한 환경에는 HTTP를 통한 RPC와 같이 더욱 강력한 프로토콜을 제공합니다.

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/rpc/rpc/writing_a_secure_rpc_client_or_server.asp

http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/tcpip/part4/tcpappc.asp

위험 등급:

Windows NT 4.0	높음
Windows NT 4.0 Terminal Server Edition	높음
Windows 2000	높음
Windows XP	높음
Windows Server 2003	높음

등급

취약점 확인:

CAN-2003-0352

테스트 버전:

지원

자주 제기되는 질문 사항

왜 이 게시판이 개정되었습니까?

원래의 게시판에서 제공되었던 패치를 이미 설치했으면, 계속 안전한 것입니까?

이 취약점을 악용하여 어느 작업까지 가능합니까?

버퍼 오버런

취약점의 원인은?

DCOM(Distributed Component Object Model)

DCOM이란?

http://www.microsoft.com/com/tech/dcom.asp

RPC(원격 프로시저 호출)란 무엇입니까?

Microsoft에서 구현한 RPC(원격 프로시저 호출)의 문제점은 무엇입니까?

이 결함이 RPC 종점 매퍼의 문제입니까?

보안 게시판 MS03-010도 RPC와 관련이 있지만 여기에서는 Windows NT 4.0에 대한 취약점을 해결할 수 없었습니다. Windows NT 4.0에서는 이 취약점을 어떻게 해결할 수 있었습니까?

MS03-010

침입자는 이러한 취약점을 악용하여 어떤 작업을 할 수 있습니까?

침입자는 이러한 취약점을 어떻게 악용합니까?

누가 취약점을 악용할 수 있습니까?

패치는 어떤 기능을 합니까?

해결 방법

패치를 테스트하고 평가하는 동안 취약점이 악용되는 것을 방지할 수 있는 방법이 있습니까?

방화벽에서 RPC 인터페이스 포트를 차단합니다.
135번 포트는 원격 컴퓨터에 RPC를 연결하는 데 사용됩니다. 그리고 이 취약점을 원격으로 공격하기 위해 공격자가 사용할 수 있는 추가적인 RPC 인터페이스 포트들이 있습니다. 방화벽에서 다음 포트를 차단하면 이 취약점을 악용하여 방화벽 뒤의 시스템이 공격 받는 것을 예방할 수 있습니다.
TCP/UDP 포트 135
TCP/UDP 포트 139
TCP/UDP 포트 445

추가로, RPC를 사용하는 서비스나 프로토콜이 인터넷에서 액세스될 수 있도록 사용자가 설정했을 수도 있습니다. 시스템 관리자는 반드시 인터넷에 노출된 RPC 포트가 있는지 점검하여 방화벽에서 이 포트들을 차단하든지 즉시 패치를 설치하든지 해야합니다.
인터넷 연결 방화벽
인터넷 연결을 보호하기 위해 Windows XP 또는 Windows Server 2003에서 인터넷 연결 방화벽을 사용하는 경우 인터넷의 인바운드 RPC 트래픽이 기본적으로 차단됩니다.
영향 받는 모든 시스템에서 DCOM 기능 해제
컴퓨터가 네트워크의 일부일 경우 해당 컴퓨터의 COM 개체가 DCOM Wire Protocol을 사용하여 다른 컴퓨터의 COM 개체와 통신할 수 있습니다. 이 취약점으로부터 보호하기 위해 특정 컴퓨터의 DCOM 기능을 해제할 수 있지만 이렇게 하면 해당 컴퓨터의 개체와 다른 컴퓨터의 개체 간의 모든 통신이 해제됩니다.

원격 컴퓨터에서 DCOM 기능을 해제하면 DCOM을 다시 설정한 후에 해당 컴퓨터에 원격으로 액세스하지 못할 수 있습니다. DCOM을 다시 설정하려면 해당 컴퓨터에 실제로 액세스해야 합니다.

컴퓨터에서 DCOM을 수동으로 설정하거나 해제하려면
1. Dcomcnfg.exe를 실행합니다.
- 콘솔 루트에서 구성 요소 서비스 노드를 클릭합니다.
- 컴퓨터 하위 폴더를 엽니다.
- 로컬 컴퓨터인 경우 내 컴퓨터를 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.
- 원격 컴퓨터인 경우 컴퓨터 폴더를 마우스 오른쪽 단추로 클릭하고 새로 만들기를 클릭한 다음 컴퓨터를 클릭합니다. 컴퓨터 이름을 입력합니다. 해당 컴퓨터 이름을 마우스 오른쪽 단추로 클릭하고 속성을 선택합니다.
2. 기본 속성 탭을 선택합니다.
3. 이 컴퓨터에서 DCOM 사용 확인란을 선택하거나 선택을 취소합니다.
4. 시스템에 대한 속성을 추가로 설정하려면 적용 단추를 클릭하여 DCOM을 설정하거나 해제합니다. 그렇지 않으면 확인을 클릭하여 변경 사항을 적용하고 Dcomcnfg.exe를 끝냅니다.

패치 입수

해당 패치의 다운로드 위치

      Windows XP와 Windows Server 2003 한글 버전을 사용하고 계신 분은 32비트 패치를 다운로드 하시기 바랍니다.
      (한글 제품은 64비트가 출시되지 않았습니다.)

      <보안 관련 파트너 정보>

        트렌드 마이크로 - http://www.trendmicro.co.kr/virus/news_read.asp?vn_no=256
        하우리 - http://www.hauri.co.kr/
        안철수 연구소 - http://ahnlab.nefficient.co.kr/20030812/virus_detail_1202.html

이 패치에 관한 추가 정보

설치 플랫폼:

Window NT 4.0 패치는 서비스 팩 6a가 실행되는 시스템에 설치할 수 있습니다.
Windows NT 4.0, Terminal Server Edition 패치는 Windows NT 4.0, Terminal Server Edition 서비스 팩 6 이 실행되는 시스템에 설치할 수 있습니다.
Window 2000 패치는 Windows 2000 서비스 팩 2, 서비스 팩 3 또는 서비스 팩 4가 실행되는 시스템에 설치할 수 있습니다.
Windows XP 패치는 Windows XP Gold 또는 서비스 팩 1이 실행되는 시스템에 설치할 수 있습니다.
Windows Server 2003 패치는 Windows Server 2003 Gold가 실행되는 시스템에 설치할 수 있습니다.

향후 서비스 팩에 포함될 내용:

이 문제점에 대한 픽스는 Windows 2000 서비스 팩 5, Windows XP 서비스 팩 2 및 Windows Server 2003 서비스 팩 1에 포함될 것입니다.

재부팅 필요성:

패치 제거 가능성:

대체 패치:

패치 설치 확인:

Windows NT 4.0 :
컴퓨터에 패치가 설치되어 있는지 확인하려면 기술 자료 문서 823980의 파일 목록에 나열된 파일들이 모두 시스템에 있는지 확인하십시오.
Windows NT 4.0 Terminal Server Edition :
컴퓨터에 패치가 설치되어 있는지 확인하려면 기술 자료 문서 823980의 파일 목록에 나열된 파일들이 모두 시스템에 있는지 확인하십시오.
Windows 2000 :
컴퓨터에 패치가 설치되어 있는지 확인하려면 다음 레지스트리 키가 컴퓨터에 만들어졌는지 확인하십시오:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB823980.

개별 파일을 확인하려면 기술 자료 문서 823980의 파일 목록에 제시된 날짜/시간 및 버전 정보를 사용하여 파일이 시스템에 있는지 확인하십시오.
Windows XP 골드(서비스 팩 1 설치 이전 버전)에 설치했을 경우:
컴퓨터에 패치가 설치되어 있는지 확인하려면 다음 레지스트리 키가 컴퓨터에 만들어졌는지 확인하십시오:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\KB823980.

개별 파일을 확인하려면 기술 자료 문서 823980의 파일 목록에 제시된 날짜/시간 및 버전 정보를 사용하여 파일이 시스템에 있는지 확인하십시오.
Windows XP 서비스 팩 1에 설치했을 경우:
컴퓨터에 패치가 설치되어 있는지 확인하려면 다음 레지스트리 키가 컴퓨터에 만들어졌는지 확인하십시오:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB823980.

개별 파일을 확인하려면 기술 자료 문서 823980의 파일 목록에 제시된 날짜/시간 및 버전 정보를 사용하여 파일이 시스템에 있는지 확인하십시오.
Windows Server 2003 :
컴퓨터에 패치가 설치되어 있는지 확인하려면 다음 레지스트리 키가 컴퓨터에 만들어졌는지 확인하십시오:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Window Server 2003\SP1\KB823980.

개별 파일을 확인하려면 기술 자료 문서 823980의 파일 목록에 제시된 날짜/시간 및 버전 정보를 사용하여 파일이 시스템에 있는지 확인하십시오.

주의 사항:

한글화:

기타 보안 관련 패치 입수:

보완 관련 패치는 Microsoft Download Center에서 얻을 수 있으며, "security_patch"라는 키워드를 사용해 쉽게 찾을 수 있습니다.
각 고객의 플랫폼에 해당하는 패치는 WindowsUpdate 웹 사이트에서 구할 수 있습니다.

기타 정보:

감사의 말

The Last Stage of Delirium Research Group

감사

지원:

Microsoft 기술 자료 문서 823980에서는 이 사안을 다루고 있으며, 이 게시 내용이 발표된 후 약 24시간 후에 볼 수 있습니다. 기술 자료 문서는 Microsoft Online Support 웹 사이트에 있습니다.
기술 지원은 Microsoft 고객기술지원부에서 받을 수 있습니다. 보안 패치와 관련된 기술 지원 통화는 무료입니다.

보안 관련 지원:

Microsoft TechNet Security

알림:

개정판:

V1.0(2003년 7월 16일): 게시판에 게시
V1.1(2003년 7월 18일): 예방방법에 추가되는 포트에 관한 정보를 갱신함.
V1.2(2003년 7월 21일): Windows XP 골드(SP1 설치 이전 버전)의 패치 설치 확인 레지스트리 키를 추가함.