'취약점 경보'에 해당되는 글 15건
- 2008/06/05 MS 사파리 사용 금지 권고
- 2008/05/28 Obama 바이러스
- 2008/05/27 TJX 스토리
- 2008/03/17 CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제
- 2008/01/28 플래쉬로 라우터를 조작한다 (4)
- 2007/11/29 애플 퀵타임 제로데이 발견 (1)
- 2007/11/15 마이크로소프트(Microsoft) 11월 패치 릴리즈
- 2007/11/05 거원 제트 오디오 취약점 임시 패치 (1)
- 2007/11/02 미국 Salesforce.com 고객 정보 유출로 인한 피슁 확산중
- 2007/11/02 RealPlayer 보안 업데이트
마이크로 소프트에 의해서 되도록이면 윈도우즈에서 사파리를 사용하지 말 것을 독촉하는 강경한 조치가 내려 졌다.
몇달 된 버그인듯 한데, 예전에 MS가 몇달 동안 안 고치던 그런 버그들 만큼 그렇게 치명적인 것을 보이지는 않고, 대충 애플 엿 먹이려는 게 아닐까 싶기도 하다.
그런데 이런 보안 버그에 늦장 대응을 하는 애플도 조금 혼나야 할 필요가 있다. 전에 어떤 해킹 컨퍼런스에서 애플 Air에 깔린 최신 맥오에스에스 해킹에 사용된 버그가 사파리의 버그였다고 한다.
그런데 웃기는 내용이 응급조치로 이미 디폴트 다운로드 위치만 변경해 주면 된다고 하면서도 사파리 쓰지 말라고 권고하는 것 자체가 정치적인 의도가 다분히 풍기는 제스쳐로 보인다.
Mitigating Factors: Customers who have changed the default location where Safari downloads content to the local drive are not affected by this blended threat." To do so, go to Edit > Preferences > General > Save downloaded files to (and pick a new location).
자세한 내용은 여기를 참조:
태터데스크 관리자
태터데스크 메시지
'취약점 경보' 카테고리의 다른 글
| MS 사파리 사용 금지 권고 (0) | 2008/06/05 |
|---|---|
| Obama 바이러스 (0) | 2008/05/28 |
| TJX 스토리 (0) | 2008/05/27 |
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
오바마 바이러스라고 파급 효과는 적지만 요즘 심심치 않게 몇몇기업에서 걸리고 있다고 한다.
Usa.exe라는 파일 이름을 가지고 있고, 감염 후 특정 시간이 되면 위와 같은 팝업 창이 갑자기 떠서 사람을 놀라게 한다. 시스템 시동과 관련한 레지스트리들을 건드려서 smss.exe라는 자신의 파일을 통해서 로그인이나 프로그램 실행 들이 일어 나게 만들어 버린다.
또한 메시지 훅을 걸어서 바이러스 스캐너나 디버깅 툴이 뜨면 윈도우즈 타이틀 스트링을 인식하고, 바로 메시지를 보내어서 죽여 버린다.
커널 레벨에 설치하는 룻킷은 전혀 없는 것으로 보이는데 유저 공간에서의 후킹 만으로 사용자를 굉장히 괴롭게 하는 웜이다.
바이러스 스캐너로 감지하더라도 레지스트리를 다 망가 뜨려 놓아서 바이러스 제거 후에 로그인이 잘 안되는 경우가 있다.
태터데스크 관리자
태터데스크 메시지
'취약점 경보' 카테고리의 다른 글
| MS 사파리 사용 금지 권고 (0) | 2008/06/05 |
|---|---|
| Obama 바이러스 (0) | 2008/05/28 |
| TJX 스토리 (0) | 2008/05/27 |
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
미국의 대형 중저가 의류및 잡화 회사인 “TJ Maxx”와 Marshall등을 거느리고 있는 TJX에서 보안 관리자로 일하던 학생이 내부 비밀 정보 공개를 이유로 짤렸네요. 그런데 그는 회사의 네트워크가 취약하다는 사실을 널리 알리기 위해서 무던히도 노력하고 있었습니다. 즉 회사의 비밀 정보란 회사 내부에서 매장 관리자들이 패스워드를 사용하지 않고 중앙 시스템에 접속한다는 사실 등과 같은 정보였던 것이죠. 사실 저도 “TJ Maxx”에서 물건을 산 적이 있어서 아마도 걔네들 데이타 베이스에 내 정보도 들어 가 있을 텐데 걱정이군요. 이미 수년전 9천 4백만개라는 어마어마한 숫자의 크레딧 카드 정보가 TJX의 네트워크를 통해서 빠져 나간 적이 있어서 더더욱 걱정 됩니다.
Reference)
http://www.theregister.co.uk/2008/05/23/tjx_fires_whistleblower/
http://it.slashdot.org/article.pl?sid=08/05/27/201234&from=rss
http://www.informationweek.com/shared/printableArticle.jhtml?articleID=201400171
http://it.slashdot.org/article.pl?sid=07/08/16/207215&tid=172
태터데스크 관리자
태터데스크 메시지
'취약점 경보' 카테고리의 다른 글
| MS 사파리 사용 금지 권고 (0) | 2008/06/05 |
|---|---|
| Obama 바이러스 (0) | 2008/05/28 |
| TJX 스토리 (0) | 2008/05/27 |
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
이 문제는 IE 등에서 mailto: 태그를 사용할 경우 “?” 등의 문자로 outlook.exe에 어떠한 인자든지 전달이 가능하게 하는 버그입니다. 여러 가지 공격 시나리오가 존재할 수 있습니다. 하지만, 아웃룩의 명령어 옵션을 조사한 결과 직접적인 명령어 실행은 가능해 보이지 않습니다.
하지만 사용자의 아웃룩 메일 박스를 UNC의 것으로 바꿔 치기 해서 공격 대상자의 메일 박스를 모니터링한다든지 하는 일은 가능해 보입니다.
참고자료:
Microsoft Outlook "mailto:" URI Handling Vulnerability
MS08-015: Protocol Handler and its Default Security Zone
About Asynchronous Pluggable Protocols
Internet Explorer security zones registry entries for advanced users
Security Vulnerability Research & Defense
태터데스크 관리자
태터데스크 메시지
'취약점 경보' 카테고리의 다른 글
| Obama 바이러스 (0) | 2008/05/28 |
|---|---|
| TJX 스토리 (0) | 2008/05/27 |
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
| 마이크로소프트(Microsoft) 11월 패치 릴리즈 (0) | 2007/11/15 |
Security Now 127: Securing the enterprise 를 청취하다 보니 새로운 XSS 공격법에 대한 소개가 나왔다. 너도 나도 XSS 취약점을 발표하는 마당에 XSS는 이제는 식상하다는 선입견을 가지고 있기에 그냥 넘기려고 했는데, 주제가 의외로 흥미롭다. Flash 로 UPNP를 공격하는 공격 코드가 나왔다는 것이다. 플래시의 URLRequest Object와 NavigateToURL 함수를 이용해서 사용자의 컴퓨터에서 UPNP를 사용하는 라우터로 라우터의 세팅을 바꾸는 요청을 보내는 것이다.
궁금해서 웹서칭을 해보니 Hacking The Interwebs에서 해당 공격법을 자세히 설명하고 있었다.
이러한 공격법은 라우터의 DNS 서버 레코드등을 바꿔서 phising등의 공격에 이용될 가능성이 많다고 한다.
UPNP는 “Universal Plug and Play"의 줄임말로서 주로 가전용 네트워크 장비들끼리 서로 원활한 네트워킹을 위해 만들어진 프로토콜이다. 이 프로토콜이 처음 나왔던 90년대 후반만 해도 과연 이런 것을 어디에나 쓸까 하는 생각이 들었었다. 하지만 일반 가정집에 있는 네트워크에 물린 장비를 세어 보아라. PC는 몰론 XBOX나 PS3,Wii와 같이 게임기들과 함께 iPod Touch나 프린터들도 요즈음에는 유선이나 무선랜에 물리는 경우가 많다.
여러 가전 기기 중에서도 특히 XBOX와 같은 게임기들의 경우 원활한 포트 사용을 위해서 UPNP를 통해서 라우터의 포트 포워딩 세팅등을 바꾼다고 한다. 게임을 제대로 즐기기 위해서 많은 경우 라우터 UPNP을 풀어 놓을 것을 권고하는 경우가 많다고 한다. 그렇지 않을 경우 일일이 라우터에 접속하여 포트포워딩 세팅을 수동으로 해주어야 하는 번거러움이 따른다.
문제는 UPNP의 프로토콜이 거의 HTTP와 동일하다는 것이다. 단지 Content-Type 등을 “application/xml”로 바꿔주고, POST 메쏘드를 사용하기만 하면 그만이다.
Hacking The Interwebs의 원문서에는 공격 기법이 비교적 상세히 기술되어 있고, 사용하는 샘플 Flash 공격 코드까지 올라와 았다. 공개된 공격코드는 단지 외부에서 내부로의 포트 포워딩을 열어주는 수준이지만, 앞에서 말한대로 주 DNS 서버를 해커의 것으로 바꿔 버리면 그야말로 사용자의 모든 트래픽을 감시하고 통제하는 것이 가능하고, 궁극적으로 phising공격에 악용될 소지가 많다.
원문서에 따르면 90% 이상의 가정용 라우터들이 취약하다고 한다. 현재 알려진 단 하나의 해결 방법은 라우터의 UPNP 세팅을 비활성화 시키는 것이다. 시간이 나고 UPNP를 사용하지 않는다면 오늘 당장이라도 UPNP를 비활성화 시킬 것을 권한다.
'취약점 경보' 카테고리의 다른 글
| TJX 스토리 (0) | 2008/05/27 |
|---|---|
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
| 마이크로소프트(Microsoft) 11월 패치 릴리즈 (0) | 2007/11/15 |
| 거원 제트 오디오 취약점 임시 패치 (1) | 2007/11/05 |
익스플로잇 제공 사이트로 유명한 milw0rm.com에 애플사의 퀵타임 플레이어의 버그에 대한 익스플로잇이 4개나 올라 갔다. 모두 같은 문제점을 이용하는 것으로 RTSP 프로토콜의 Content-Type 필드의 스택 오버플로우 취약점이다. 이는 아주 초보적인 실수로서, 익스플로잇의 성공율은 굉장히 높은 것으로 확인되었다.
비스타에서도 해당 취약점이 작동하므로 주의를 기울여야 한다. 비스타의 개선된 보안성에도 불구하고, 해당 배포 패키지들에는 해당 기술들이 전혀 사용되지 않았으므로 쉽게 익스플로잇이 되는 것으로 보인다.
이미 4개 이상의 퍼블릭한 익스플로잇이 나와 있으므로 이를 이용한 말웨어도 이미 존재할 것으로 예측된다.
관련 링크들:
Apple Quicktime (Vista/XP RSTP Response) Remote Code Exec
Apple QuickTime RTSP Response Header Content-Length Remote Buffer Overflow Vulnerability
Apple QuickTime 7.2/7.3 RSTP Response Universal Exploit (win/osx)
http://www.milw0rm.com/sploits/11272007-qt_public.tar.gz
Apple QuickTime 7.2/7.3 RSTP Response Universal Exploit (cool)
Zero-Day Exploit for Apple QuickTime Vulnerability
Apple QuickTime 7.3 RTSP Response Vista / XPSP2 Universal
'취약점 경보' 카테고리의 다른 글
| CVE-2008-0110: 마이크로소프트 아웃룩의 명령어 인자 패스 문제 (0) | 2008/03/17 |
|---|---|
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
| 마이크로소프트(Microsoft) 11월 패치 릴리즈 (0) | 2007/11/15 |
| 거원 제트 오디오 취약점 임시 패치 (1) | 2007/11/05 |
| 미국 Salesforce.com 고객 정보 유출로 인한 피슁 확산중 (0) | 2007/11/02 |
미국 시간으로 11월 13일 화요일 오전 마이크로 소프트사에서 두개의 패치가 발표 되었다. 정기적인 패치 릴리즈 계획에 따른 것이다. 매달 두번째 화요일인 이 날을 통상적으로 패치 투스데이(Patch Tuesday)라고 부른다.
이번에는 단지 두개의 패치가 발표 되었지만 모두 중요도가 높고 파급 효과가 높은 것들이었다.
첫번째 패치인 Vulnerability in Windows URI Handling Could Allow Remote Code Execution (943460) 는 IE7의 프로토콜 핸들러의 오작동으로 인한 것으로 간단하게 대상 시스템에서 명령을 실행 시킬 수 있다. 이를 악용한 악성 코드가 대체로 PDF 파일을 이용하여 공격한 바 있다.
두번재 패치는 Vulnerability in DNS Could Allow Spoofing (941672)로서 DNS 서버의 취약점에 대한 것이다. 이미 Windows DNS Server Cache Poisoning라는 문서에서 자세한 공격법이 밝혀진바 있다. 아직 공개된 코드(exploit)는 없지만, 생각보다 간단하게 공격 코드를 완성할 수 있었다. 이미 러시아 등지에서 해당 취약점을 이용한 대규모 파밍 공격이 벌어졌다는 보고가 있다고 한다.
공격의 원리는 간단하다. DNS 패킷의 경우 UDP를 주로 사용하게 되는데, 시퀀스 넘버등을 사용하지 않음으로 인해서UDP는 TCP에 비해서 스푸핑에 취약하다는 맹점이 있다. DNS의 경우 각 쿼리 패킷에 트랜잭션 아이디(Transaction ID)를 부여하여 패킷을 전송하고 응답 패킷에서 해당 트랜잭션 아이디가 그대로 되돌아 왔는지 확인하는 방법으로 스푸핑을 방지하고 있다. 하지만, 윈도우즈 계열의 DNS 서버에서는 이 트랜잭션 아이디가 추측이 가능하다는 데에 문제가 발생한다.
트랜잭션 아이디는 아래와 같이 16비트의 값으로서, M은 순수하게 랜덤한 값이지만 C와 L에는 어떠한 규칙성이 존재한다.
|
15 |
14 |
13 |
12 |
11 |
10 |
9 |
8 |
7 |
6 |
5 |
4 |
3 |
2 |
1 |
0 |
|
0 |
0 |
M=pseudo random data |
C=n%256 |
L | |||||||||||
n 변수는 패킷이 하나 나갈 때마다 1씩 증가하게 되므로 C를 추측하는 것은 간단하다. L의 경우는 다음과 같은 공식으로 통해서 계산된다고 한다.
L=(T[C mod 8][n mod 7]+(C mod 8)·t) mod 8
여기에서 우리가 모르는 변수는 t로서 시간과 관련된 변수이다. 하지만 이 공식의 문제는 C mod 8이 0이 될 때에는 L의 값이 항상 0가 된다는 것이다. C는 추측이 가능하므로 8패킷에 하나마다 C와 L을 확실하게 알 수 있는 경우가 생긴다. 이 경우 단지 3비트의 M 값만 맞추면 트랜잭션 아이디를 맞출 수 있게 된다. 3비트는 8개의 경우의 수를 만들므로 8개의 가짜 응답을 보내면 그 중에 하나는 맞게 된다.
Windows DNS Server Cache Poisoning 문서를 보면 해당 공격을 실질적으로 행할 수 있는 방법으로 "Cname Chain"을 들고 있다. 이 방법에 대해서 나중에 따로 설명을 하겠다.
'취약점 경보' 카테고리의 다른 글
| 플래쉬로 라우터를 조작한다 (4) | 2008/01/28 |
|---|---|
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
| 마이크로소프트(Microsoft) 11월 패치 릴리즈 (0) | 2007/11/15 |
| 거원 제트 오디오 취약점 임시 패치 (1) | 2007/11/05 |
| 미국 Salesforce.com 고객 정보 유출로 인한 피슁 확산중 (0) | 2007/11/02 |
| RealPlayer 보안 업데이트 (0) | 2007/11/02 |
9월 19일에 이미 공격 코드(jetAudio 7.x ActiveX DownloadFromMusicStore() 0day Remote Code Execution Exploit)까지 발표된 상태인데, 아직 패치가 안된듯 하다.
만약 제트오디오의 버전이 7로 시작한다면 문제가 있을 가능성이 많다. 확인해 본 결과 6.x 대에서는 문제가 발생하지 않았다.
다음은 실제 테스트를 통해서 취약점을 확인한 화면이다. 만약 거원 제트오디오의 “Download Manager”가 갑자기 뜬다면 공격을 의심해 봐도 될듯 하다.
사진 1: 공격 화면
공격이 성공하면 임의로 아무 파일이나 덮어 쓸 수 있으며, 특정 실행 파일들을 덮어 써서 원하는 코드를 실행하도록 유도할 수 있다.
ActiveX의 버그이므로, 패치대신 킬빗(Killbit)을 설정하여 해당 컴오브젝트를 웹에서 부르지 못하도록 설정할 수 있다. 취약한 ActiveX의 CLSID는 다음과 같다.
8D1636FD-CA49-4B4E-90E4-0A20E03A15E8
따라서 문서 How to stop an ActiveX control from running in Internet Explorer 의 가이드라인에 따라서 다음과 같은 파일을 이용하여 킬빗(Killbit)을 설정할 수 있다. 이 파일을 더블클릭하여 실행하면 킬빗이 설정되어 해당 취약점에서 안전해 질 수 있습니다.
CowonJetAudioBugFix.reg
'취약점 경보' 카테고리의 다른 글
| 애플 퀵타임 제로데이 발견 (1) | 2007/11/29 |
|---|---|
| 마이크로소프트(Microsoft) 11월 패치 릴리즈 (0) | 2007/11/15 |
| 거원 제트 오디오 취약점 임시 패치 (1) | 2007/11/05 |
| 미국 Salesforce.com 고객 정보 유출로 인한 피슁 확산중 (0) | 2007/11/02 |
| RealPlayer 보안 업데이트 (0) | 2007/11/02 |
| 곰플레이어 취약점의 간단한 해결 방법 (0) | 2007/10/31 |
미국 회사들의 영업 조직들의 사내 정보 공유와 분석 서비스를 제공하는 salesforce.com의 데이타 베이스가 해킹 당한 것으로 의심 받고 있다.
인터넷의 수상한 트래픽들을 주로 처리하는 Handler's Diary의 Salesforce.com issue? 편을 보면, 많은 사람들이 미공정거래국(FTC) 등을 사칭한 피슁 메일을 받고 있는데, 그 내용에 수신자의 메일 주소 뿐만 아니라 회사 이름이나 사용자의 전체 이름이 정확하게 들어 가 있는 것으로 드러 났다.
우리 회사로도 수상한 메일들이 많이 전송 되었으며, 피슁