Microsoft TechNet - 보안 > Microsoft Security Bulletin MS03-047

Microsoft Security Bulletin MS03-047

Exchange Server 5.5 Outlook Web Access의 취약점으로 인한 사이트 간 스크립팅 침입 문제(828489)

게시된 날짜: 2003년 10월 15일
버전 번호: 2.0

요약

이 내용을 읽어야 할 사람: Microsoft Exchange Server 5.5 Outlook Web Access가 실행되는 서버를 관리하는 시스템 관리자
취약점으로 인한 영향: 원격 코드 실행
최대 위험 등급: 보통
권장 사항: 시스템 관리자는 Outlook Web Access 5.5가 실행 중인 서버에 이 보안 패치를 설치해야 합니다.
대체 패치: 이 패치는 Microsoft Security Bulletin MS01-057을 대체합니다.
주의 사항: 본 문서의 파일 정보 절에 있는 ASP 페이지를 사용자 지정한 고객은 이 패치를 적용하기 전에 해당 파일을 백업해야 합니다. 패치가 적용되면서 이 파일을 덮어쓰기 때문입니다. 모든 사용자 지정 항목을 새 ASP 페이지에 다시 적용해야 합니다.
이 패치의 종속 구성 요소에 대한 버전 요구 사항:
이 패치를 성공적으로 설치하려면 OWA 서버에 Internet Explorer 5.01 이상이 설치되어 있어야 합니다.
OWA의 종속 구성 요소에 대한 버전 요구 사항:
이 문서를 작성할 당시에는 OWA 서버의 종속 구성 요소에 대해 다음 버전이 권장되었습니다.
IIS:
Windows NT 4.0 SP6의 IIS 버전 4.0
Windows 2000 SP2 이상의 IIS 버전 5.0
IE:
IE 버전 5.5 SP2
IE 버전 6.0
테스트를 거친 소프트웨어 및 패치 다운로드 위치:
영향을 받는 소프트웨어:
Microsoft Exchange Server 5.5, 서비스 팩 4 - 패치 다운로드
영향을 받지 않는 소프트웨어:
Microsoft Exchange 2000 Server
Microsoft Exchange Server 2003
위에 나열된 소프트웨어는 해당 버전이 영향을 받는지 확인하기 위해 테스트되었습니다. 그밖의 다른 버전은 더 이상 지원되지 않으며 영향을 받을 수도 있고 받지 않을 수도 있습니다.
기술 세부 사항
기술적 설명:
이 게시판이 처음 릴리스된 이후 원본 패치를 특정 언어로 사용할 수 없다는 사실이 확인되었습니다. 이 게시판은 Outlook Web Access용 언어 팩에서 언어를 설치한 고객을 위해 만들어진 새 패치에 대한 정보를 제공하도록 업데이트되었습니다.
또한 이 패치가 제대로 작동하려면 패치가 설치된 OWA(Outlook Web Access) 서버에 Internet Explorer 5.01 이상이 설치되어 있어야 합니다. 이 패치를 IE 5.01 이전 버전이 설치된 시스템에 설치하면 예상치 못한 결과가 발생할 수 있습니다. 이 패치에 대한 버전 요구 사항을 제공하도록 "주의 사항" 절이 업데이트되었습니다. 또한 이 문서를 작성할 당시 적용 가능했던 종속 구성 요소에 대한 버전 요구 사항도 이 절에 설명되어 있습니다. 뿐만 아니라 배포 절에서는 이 보안 패치를 다운로드하여 설치하는 방법을 보다 자세히 설명합니다.
사이트 간 스크립팅(XSS) 취약점은 Outlook Web Access(OWA)가 새 메시지 작성 형식으로 HTML 인코딩을 수행하기 때문에 발생합니다.
침입자는 사용자가 침입자 대신 스크립트를 실행하게 하여 이러한 취약점을 악용할 수 있습니다. 스크립트는 사용자의 보안 컨텍스트에서 실행됩니다. 스크립트가 사용자의 보안 컨텍스트에서 실행될 경우, OWA 웹 사이트(또는 OWA 웹 사이트와 동일한 서버에서 호스팅하는 웹 사이트)의 보안 설정을 사용하여 침입자의 코드가 실행되므로 침입자는 사용자가 액세스할 수 있는 사이트에 있는 모든 데이터에 액세스할 수 있게 됩니다.
침입자는 이러한 OWA의 보안 취약점을 악용하기 위해 특수한 형태의 링크가 있는 전자 메일 메시지를 사용자에게 보냅니다. 사용자가 그 링크를 클릭해야 합니다. 이러한 보안 취약점을 다른 방식으로 악용하는 침입자의 경우 사용자의 Exchange server 이름을 알아낸 다음 사용자가 OWA에 로그온한 동안 특수한 형태의 링크를 다른 소스에서 열도록 유도합니다.
참고: 본 문서의 파일 정보 절에 있는 ASP 페이지를 사용자 지정한 고객은 이 패치를 적용하기 전에 해당 파일을 백업해야 합니다. 패치가 적용되면서 이 파일을 덮어쓰기 때문입니다. 모든 사용자 지정 항목을 새 ASP 페이지에 다시 적용해야 합니다. http://support.microsoft.com/default.aspx?scid=327178에서 Outlook Web Access 사용자 지정에 관한 Microsoft 지원 정책을 참조하십시오
예방 방법:
사용자가 OWA에 로그온하거나 OWA에 로그온하도록 유도되거나 OWA와 동일한 서버에 있는 다른 웹 응용 프로그램을 사용할 때만 이러한 침입의 영향을 받습니다. 일반적으로 Exchange Server 5.5 Outlook Web Access를 실행하는 서버는 성능, 확장성 및 보안 상의 이유로 다른 웹 응용 프로그램을 실행하지 않습니다.
침입자가 OWA의 보안 취약점을 악용하기 위해서는 특수한 형태의 링크가 있는 전자 메일 메시지를 사용자에게 보내고 사용자가 그 링크를 클릭해야 합니다.
웹 기반 침입의 경우 침입자는 사용자의 Exchange server 이름을 알아낸 다음 사용자가 OWA에 로그온한 동안 특수한 형태의 링크를 다른 소스에서 열도록 유도해야 합니다.
위험 등급:
Exchange Server 5.5 Outlook Web Access 보통
위의 등급 은 이 취약점과 관련된 시스템 유형, 일반적인 배포 방법 및 취약점이 악용될 때 시스템에 미치는 영향을 근거로 평가한 것입니다.
취약점 확인:CAN-2003-0712
해결 방법
Microsoft는 다음 해결 방법을 테스트했습니다. 이러한 해결 방법은 취약점 자체를 해결하는 것은 아니지만 알려진 공격 경로를 차단하는 데 도움이 됩니다. 해결 조치로 인해 일부 경우 기능이 저하될 수도 있습니다. 그러한 경우는 다음과 같습니다.
각 Exchange 사이트에서 Outlook Web Access의 작동을 중지시킵니다.
다음 단계를 통해 Outlook Web Access의 작동을 중지시킬 수 있습니다. 각 Exchange 사이트마다 다음 단계를 수행해야 합니다.
Exchange Administrator를 시작합니다.
사이트의 Configuration 저장소를 확장합니다.
사이트의 Protocols 컨테이너를 선택합니다.
HTTP (Web) Site Settings 개체의 등록 정보를 엽니다.
"Enable Protocol" 확인란의 선택을 취소합니다.
변경 사항이 복제될 때까지 기다린 다음 사이트의 각 서버에 이 변경 사항이 복제되었는지 확인합니다. Exchange Administrator에서 사이트의 각 서버에 바인딩한 다음 설정을 살펴보면 확인할 수 있습니다
해결 방법의 영향: 사용자는 Outlook Web Access를 통해 자신의 사서함에 액세스할 수 없게 됩니다.
Outlook Web Access를 제거합니다.
Outlook Web Access를 제거합니다. 그 방법은 http://support.microsoft.com/default.aspx?scid=290287의 기술 자료 문서 "XCCC: OWA를 완전하게 제거하고 다시 설치하는 방법"을 참조하십시오.
해결 방법의 영향: 사용자는 Outlook Web Access를 통해 자신의 사서함에 액세스할 수 없게 됩니다.
Exchange 환경을 보다 안전하게 유지하는 방법에 대한 자세한 정보는 Exchange Server 5.5를 위한 보안 리소스 웹 사이트를 참조하십시오.
자주 제기되는 질문 사항
Microsoft는 추가 Outlook Web Access 언어용 패치를 새로 출시했습니다. 그 이유는 무엇입니까?
이 게시판이 처음 릴리스된 이후 원본 패치를 특정 언어로 사용할 수 없다는 사실이 확인되었습니다. 이 게시판은 Outlook Web Access용 언어 팩에서 언어를 설치한 고객을 위해 만들어진 새 패치에 대한 정보를 제공하도록 업데이트되었습니다.
원래 패치를 이미 설치했습니다. 새 패치를 설치해야 합니까?
Outlook Web Access 페이지가 독일어, 영어, 프랑스어 또는 일본어로 표시될 경우 원래 패치로도 보안 취약점을 해결할 수 있습니다.
새 패치는 Outlook Web Access 언어 팩을 통해 사용할 수 있는 추가 언어를 지원하며 위에서 언급한 언어의 경우 새 패치를 설치해도 원래 패치가 변경되지 않습니다. Outlook Web Access용 언어 팩에서 언어를 추가한 경우에는 이 새 패치를 적용해야 합니다.
이 취약점을 악용하여 어느 작업까지 가능합니까?
이 취약점은 사이트 간 스크립팅 관련 취약점입니다. 침입자는 이 취약점을 악용하여 다른 사용자의 웹 세션 동안에 임의의 코드가 실행되도록 할 수 있습니다. 코드는 웹 사이트가 허용하는 모든 작업 즉, 웹 세션 모니터링, 타인에게 정보 전달, 사용자 시스템에서 다른 코드 실행, 쿠키 읽기 또는 쓰기 등을 사용자의 컴퓨터에서 수행할 수 있습니다. 코드가 영구적으로 실행되도록 작성할 수 있기 때문에 사용자가 웹 사이트로 다시 돌아왔을 때 코드가 다시 실행될 수 있습니다.
취약점은 웹 세션에 "주입"될 수는 없으며 침입자가 보낸 하이퍼링크를 사용자가 클릭한 경우에만 적용됩니다.
특수한 형태의 링크를 사용자에게 전자 메일로 보내는 것 외에 다른 방식으로 이러한 결함을 악용하려는 침입자의 경우 사용자의 Exchange Server 이름을 알아낸 다음 사용자가 OWA에 로그온한 동안 다른 소스에서 특수한 형태의 링크를 열도록 유도할 수 있습니다.
Outlook Web Access란?
Microsoft Outlook Web Access(OWA)는 Exchange Server의 한 서비스입니다. OWA를 사용하면 웹 브라우저에서 Exchange 사서함에 액세스할 수 있습니다. 또한 OWA를 사용하면 Exchange Server를 실행하는 서버는 사용자가 메일을 읽고 보내고, 일정을 관리하고, 인터넷을 통해 기타 메일 기능을 수행할 수 있는 웹 사이트로도 작동할 수 있습니다.
사이트 간 스크립팅이란?
사이트 간 스크립팅(XSS)은 일종의 보안 취약점으로서 침입자가 웹 사이트의 사용자 세션에 코드를 "주입"할 수 있도록 합니다. 대부분의 보안 취약점과 달리 CSS는 하나의 특정 공급업체의 제품에만 적용되는 것이 아니라 HTML을 생성하는 모든 소프트웨어에 영향을 줄 수 있으며 프로그래밍 보안 관례를 따르지 않습니다.
XSS는 어떻게 작동합니까?
웹 페이지에는 서버에서 생성하고 클라이언트에서 해석하는 텍스트 및 HTML 마크업이 들어 있습니다. 정적 페이지를 생성하는 서버는 서버가 보낸 페이지를 클라이언트에서 해석하는 방식을 완전 제어할 수 있습니다. 그러나 동적 페이지를 생성하는 서버는 클라이언트에서 출력을 해석하는 방식을 제어할 수 없습니다. 신뢰할 수 없는 콘텐트가 동적 페이지에 포함될 경우 서버와 클라이언트 모두 그 사실을 인식하여 보호 조치를 취할 만한 충분한 정보를 갖지 못합니다.
사이트 간 스크립팅의 작동 방식 및 그러한 공격을 예방하기 위한 방법에 대한 자세한 정보는 사이트 간 스크립팅 보안 취약점 정보 를 참조하십시오.
취약점의 원인은 무엇입니까?
이러한 취약점이 발생하는 것은 Exchange Server 5.5 Outlook Web Access에서 새 메시지를 작성할 때 사용하는 ASP(Active Server Page)가 올바른 인코딩 없이 HTML로 요청된 URL을 재생하기 때문입니다.
Outlook Web Access의 문제가 무엇입니까?
사용자가 새 전자 메일 메시지를 만들면 OWA는 HTML로 표시할 URL을 올바로 인코딩하지 않습니다. 따라서 침입자는 별도의 웹 사이트에 있는 스크립트에 링크를 삽입한 다음 링크가 OWA 웹 사이트에서 온 것처럼 브라우저에서 인식하도록 링크가 웹 브라우저로 되돌아가게 합니다.
침입자는 이러한 취약점을 악용하여 어떤 작업을 할 수 있습니까?
취약점으로 인해 악의 있는 웹 사이트를 호스팅하는 침입자 또는 사용자가 특수한 형태의 링크를 클릭하도록 유도할 수 있는 침입자는 사용자의 OWA 웹 사이트에 사이트 간 스크립팅 공격을 수행할 수 있습니다. 침입자는 이러한 방식으로 사용자 브라우저에서 스크립트를 실행하고, OWA 웹 사이트나 같은 시스템에서 호스팅하는 다른 웹 사이트의 보안 설정을 이용하고, 웹 사이트에 있는 쿠키나 다른 데이터에 액세스할 수 있습니다.
침입자는 이러한 취약점을 어떻게 악용합니까?
악의 있는 웹 사이트를 호스팅하는 침입자는 액세스할 경우 스크립트를 인수의 일부로 하여 웹 서버 쿼리를 보내는 링크나 스크립트가 삽입된 특수한 형태의 전자 메일 메시지를 보내는 방법으로 이러한 취약점을 악용합니다. 전자 메일 메시지가 OWA나 외부 웹 사이트에 표시되었을 때 사용자가 링크를 클릭해야 공격이 발생합니다.
모든 버전의 OWA가 취약합니까?
아니요. Exchange Server 5.5 Outlook Web Access에만 취약점이 적용됩니다.
어떤 Exchange Server에 패치를 설치해야 합니까?
이 패치는 Exchange Server 5.5 Outlook Web Access를 실행하는 서버에만 해당됩니다. Exchange Server 5.5 Outlook Web Access를 실행하지 않는 서버에는 이 패치를 설치할 필요가 없습니다.
OWA 사이트를 사용자 지정하였습니다. 어떻게 해야 합니까?
본 문서의 파일 정보 절에 있는 ASP 페이지를 사용자 지정한 고객은 이 패치를 적용하기 전에 해당 파일을 백업해야 합니다. 패치가 적용되면서 이 파일을 덮어쓰기 때문입니다. 모든 사용자 지정 항목을 새 ASP 페이지에 다시 적용해야 합니다. http://support.microsoft.com/default.aspx?scid=327178 에서 Outlook Web Access 사용자 지정에 관한 Microsoft 지원 정책을 참조하십시오.
패치가 어떻게 취약점을 제거합니까?
패치는 OWA 스크립트 인수를 인코딩하여 해당 스크립트가 예치기 않게 실행되지 않도록 함으로써 취약점을 제거합니다.
보안 패치 정보
사용 중인 플랫폼에 맞는 보안 패치에 대한 내용을 보려면 적절한 링크를 누르십시오.
Exchange Server 5.5 SP4

감사의 말

고객 보호를 위해 협력해 주신 다음 분들께 감사드립니다.

" MS03-047에서 설명한 문제점을 알려 주신 Sanctum Inc. 의 Ory Segal님.

기타 보안 관련 패치 입수:

기타 보안 문제 관련 패치는 다음 사이트에서 구할 수 있습니다.

보안 패치는 Microsoft Download Center에서 다운로드할 수 있으며 "security_patch"라는 키워드를 사용해 쉽게 찾을 수 있습니다.
각 고객의 플랫폼에 해당하는 패치는 WindowsUpdate 웹 사이트에서 구할 수 있습니다.

지원:

고객 지원은 Microsoft 고객지원부에서 받을 수 있습니다. 보안 패치와 관련된 고객 지원 통화는 무료입니다.

보안 관련 지원:

Microsoft TechNet Security 웹 사이트에서 Microsoft 제품의 보안에 관한 추가 정보를 제공합니다.
Microsoft Software Update Services: http://www.microsoft.com/sus/
MBSA(Microsoft Baseline Security Analyzer) 정보: http://www.microsoft.com/korea/technet/security/tools/Tools/mbsahome.asp.
MBSA 도구가 검색할 수 없는 보안 패치 목록은 http://support.microsoft.com/default.aspx?scid=kb;EN-US;306460을 참조하십시오.
Windows Update 카탈로그: http://support.microsoft.com/default.aspx?scid=kb;ko;323166
Windows Update: http://windowsupdate.microsoft.com
Office Update: http://office.microsoft.com/officeupdate/

알림: Microsoft 기술 자료에서 제공되는 정보는 어떠한 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 상품성 및 특정 목적에의 적합성에 대한 보증을 포함하여 명시적이거나 묵시적인 어떤 보증도 하지 않습니다. Microsoft Corporation 또는 그 공급자는 모든 직접적, 간접적, 부수적, 파생적 손해 또는 영업 이익 손실이나 특수한 손실에 대하여 어떠한 경우에도 책임을 지지 않으며, 이는 Microsoft Corporation과 그 공급자가 그와 같은 손해의 가능성을 사전에 알고 있던 경우에도 마찬가지입니다. 일부 주에서는 파생적 또는 부수적 손해에 대한 책임의 배제나 제한을 허용하지 않으므로 위 제한은 귀하에게 적용되지 않을 수도 있습니다.

개정판:

V1.0 2003년 10월 15일: 처음 게시되었습니다.
V1.1 2003년 10월 21일:

"보안 패치 정보"의 "Exchange Server 5.5 서비스 팩 4" 절에 포함된 "배포" 부분에서 불필요한 정보가 제거되었습니다.
"보안 패치 정보"의 "Exchange Server 5.5 서비스 팩 4" 절에 포함된 제품 특정 정보가 업데이트되었습니다.
"기술 세부 사항"의 "위험 등급" 절에서 링크가 업데이트되었습니다.

V2.0 2003년 10월 22일: Outlook Web Access 언어 팩을 통해 사용할 수 있는 언어용 추가 패치에 대한 세부 사항을 제공하도록 업데이트되었습니다.

최종 수정일 : 2005년 8월 18일