지난 9월 10일 경에 아도브 사가 개발하여 무료로 제공하는 리더 프로그램에서 제로데이 취약점이 발견되었으며, 실제로 이 공격 방식을 이용하는 사례가 매우 많이 발생하고 있습니다.

하지만, 아도브 측에서는 아직까지 해결책이나 보안 패치를 제공하지 못하고 있으며 10월 4일 경에 보안 패치가 발표될 예정입니다. 이에 대한 사항은 아래 링크를 참고하십시오.



그런데 외국의 RamzAfzar라는 모의 해킹 회사에서 제로데이 취약점에 대한 해결책을 제시하고 있어 소개합니다.

이 취약점은 cooltype.dll 파일에서 strcat()함수에서 문자열의 길이와 매개변수를 제대로 검증 및 처리하지 못해서 발생하는 것으로 디버깅을 통해 알 수 있습니다.

0803DDAB E8 483D1300 CALL JMP.&MSVCR80.strcat

따라서, 이진 파일의 여유 부분에 strncat() 함수를 삽입하고 문자열을 검증하는 루틴을 추가하는 역어셈블링 기법을 통해 문제점을 해결했다고 주장하고 있습니다.

이 파일은 아래 링크에서 다운로드하여 설치할 수 있습니다.

주의: 본 패치는 비공식적인 것이므로, 해당 파일을 이용하여 문제가 발생할 가능성이 있스므로, 사용자가 전적으로 책임져야 합니다. 위 파일은 v9.3.4 버전용입니다.

감사합니다.

출처: http://www.rafzar.com/node/22
reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus
    최근 아도브의 리더에서 제로데이 취약점이 발견되어 소개해 드린 적이 있습니다. 이에 대한 자세한 사항은 아래 링크를 참고하십시오.


    지난 월요일 아도브에서는 플래시 플레이어에 제로데이 취약점이 발견되었으며, 실제로 공격이 이뤄지는 사례가 있다고 알려왔습니다. 이 취약점은 CVE-2010-2884로 명명되었습니다.

    이 취약점은 아도브 플래시 플레이어 10.1.82.76 버전 및 하위 버전에서 발생하고 있으며, 윈도우 뿐만 아니라 맥, 리눅스, 솔라리스, 안드로이드까지 다양한 운영체제를 포함하고 있습니다.

    또한 이 취약점은 아도브 리더의 최신버전 및 하위버전에 영향을 미치고 있으며, 윈도우, 맥 운영체제 제품에서도 존재합니다.

    아도브는 9월 27일 경에 이 문제점을 해결하기 위한 패치를 제공할 예정이라고 합니다. 참고로, 아도브 리더에서 발생한 문제점은 10월 4일 패치 예정입니다.

    취약점에 대한 자세한 사항은 아래 링크를 참고하십시오.



    감사합니다.
    reTweet
    Posted by 문스랩닷컴
    blog comments powered by Disqus

      최근 아크로뱃 리더의 거듭된 제로데이 취약점으로 문제가 많이 발생하고 있습니다. 가장 최근에 발생한 뉴스는 아래 링크를 참고하십시오.

      마이크로소프트는 아도브에서 개발하는 아크로뱃 및 리더 프로그램의 보안 취약점을 노린 제로데이 공격을 예방할 수 있는 툴킷을 발표했습니다.

      지난 금요일에 마이크로소프트가 발표한 권고안에 따르면 EMET(Enhanced Mitigation Experience) 2.0이 이러한 위협을 차단할 수 있다고 하였으며, 아직까지 아도브에서는 별다른 언급을 하지 않고 있습니다.


      권고안에 언급된 주요한 사항을 살펴보면 다음과 같으며, 보다 자세한 사항은 하단 부의 참고자료를 참조하십시오.

      아도브 관련된 취약점을 예방하기 위해 EMET을 사용하기 위해서는 먼저 EMET을 설치해야 합니다. 단, 설치 시에는 관리자 권한이 필요합니다. 64비트 운영체제가 아닌 경우에는 아도브 리더와 아크로뱃은 설치 경로가 다를 수도 있으므로
      주의해야 합니다.

      C:\Program Files (x86)\EMET>emet_conf.exe --add "c:\program files (x86)\Adobe\Reader 9.0\Reader\acrord32.exe"

      저장 후에는 프로그램을 재시작해야 할 경우도 있습니다.


      참고자료


      감사합니다.
      reTweet
      Posted by 문스랩닷컴
      blog comments powered by Disqus
        인터넷 위협 중에서 가장 위험하다고 여겨지는 것이 바이러스가 아니라 아크로뱃 리더(Acrobat Reader)이다.  - from 문스랩닷컴


        아도브가 개발한 아크로뱃 리더는 아마도 가장 널리 사용되는 뷰어(viewer)이며, 외국에서는 거의 전자 문서의 표준 정도에 이를 정도입니다.

        최근 1-2년간에 아도브 리더/아크로뱃 제품에서 잇달아 취약점이 발견되고 있습니다. 그 중에서 가장 문제가 되는 부분이 바로 취약점을 이용하여 악성코드를 배포하는 바로 제로데이(0-day) 습성이기 때문입니다. 제로데이란 취약점이 알려진지 24시간 내에 이를 이용하는 악성코드가 출현한다는 것으로 그만큼 악성코드 제작자의 실력도 상향 평준화되었으며, 그에 반해 개발사나 보안 업체의 대응이 상대적으로 늦을 수 밖에 없다는 것을 말합니다.

        지난 9월 6일에는 아크로뱃 리더에 관련된 새로운 제로데이 취약점이 발견되어 알려졌습니다. 문제는 이 취약점을 이용하여 악성코드를 배포할 수 있는 실제 코드도 발표되었고, 취약점을 이용하여 교묘하게 조작된 PDF 문서를 첨부 파일로 넣은 스팸 메일이 실제로 발송되었다는 점입니다.

        문제가 발생한 아크로뱃 리더의 버전은 최신버전인 9.3.4까지 포함하는 것으로 알려져 있습니다. 또한 윈도우 운영체제 뿐만 아니라 매킨토스, 유닉스 운영체제까지 모든 제품에서 취약점이 발생합니다. 이 취약점은 CVE-2010-2883 이라고 명명되었으며, 이 취약점을 통해 해커는 피해자의 컴퓨터를 원격에서 조정할 수 있으며, 시스템을 손상시킬 수도 있습니다.

        아도브 사에서는 이 문제점의 심각성을 우려해서 인지 매우 빠르게 이에 대한 대응책을 발표했습니다.

        CVE-2010-2883에 대해 간략히 정리하면 다음과 같습니다.


        1. 취약점의 상세 내용

        cooltype.dll 파일의 0x0803dcf9 모듈에서 TTF 글꼴을 적절하게 파싱하지 못하는 문제점으로 인해 발생합니다. 이로 인해 DEP(Data Execution Protection, 데이터 실행 방지)까지 우회하는 것으로 알려져 있습니다.

        아크로뱃 리더에서는 AcroJS라는 자바스크립트가 사용되는데 이는 문서를 열 때 한번 실행되는 쉽게 말하면 자동실행 스크립트라고 보면 됩니다.



        2. 취약점을 이용하는 악성 코드 출현

        이 취약점을 이용하는 코드가 Metasploit Framework에서 발표되었으며, 이러한 발표로 인해 바이러스 및 스팸 제작자들이 쌍수를 들고 환영하고 있습니다.


        또한, 아래와 같이 악성 스크립트가 포함되어 있는 PDF 파일을 스팸 메일에 함께 보내어 감염을 시도하는 실제 사례도 많은 것으로 알려져 있습니다.

        <설명: 첨부에 포함된 PDF 문서>


        3. 아도브 사의 발표 내용

        아도브 사에서는 이 문제점에 대해 신속하게 권고안을 발표했습니다만, 아쉽게도 앞에서 설명했던 사항들을 나열하는 수준에 불과했습니다. 이 취약점은 심각성이 치명적(Critical)하다고 분류했으며, 현재 문제점을 해결하는 업데이트를 발표할 일정을 조율 중에 있다고 합니다.


        아크로뱃 리더는 계속 기능을 확장해 나가고 있습니다. 하지만, 그 기능에 맞게 그 만큼의 보안에 대해 충분한 검토가 없어 이와 같은 문제점이 나타나고 있습니다. 자바스크립트가 실행되는 한, 이러한 문제점은 계속 나올 것입니다.

        아마도 나중에는 샌드박스(Sandbox)와 같은 기능이 아크로뱃 리더 내에 포함될지도 모릅니다.

        감사합니다.

        reTweet
        Posted by 문스랩닷컴
        blog comments powered by Disqus
          최근 외국의 한 해커가 PDF의 자체적인 구조로도 해킹이 가능하다는 시범(Poc, Proof of Concept)의 동영상을 인터넷에 공개했습니다.

          동영상을 보면, 아크로뱃 리더에서 특정한(공격할 수 있는) 명령어를 실행할 수 있는 것으로 만약 해커가 이를 악용한다면, 시한폭탄(!)이 될 수 있는 민감한 사안입니다.


          출처: http://blog.didierstevens.com/2010/03/29/escape-from-pdf/


          reTweet
          Posted by 문스랩닷컴
          blog comments powered by Disqus
            Adobe에서 개발하여 제공하는 플래시 플레이어에 관련된 보안 취약점을 해결하는 패치가 발표되어 간략히 정리합니다.

            업데이트 출시일: 2010년 2월 11일

            취약점 식별자: APSB10-06

            CVE 번호: CVE-2010-0186, CVE-2010-0187

            운영체제: 모든 운영체제

            요약
            Adobe Flash Player 10.0.42.34 및 그 이하 버전에서 치명적인 취약점이 발견되었습니다. 이 취약점은 인가받지 않고도 도메인 간의 요청을 할 수 있다는 것입니다.

            영향받는 소프트웨어
            Adobe Flash Player 10.0.42.34 및 그 이하 버전
            Adobe AIR 1.5.3.9120 및 그 이하 버전

            해결방법
            Adobe Flash Player 10.0.42.2로 업그레이드합니다.
            Adobe AIR 1.5.3.9130으로 업그레이드합니다.

            출처http://www.adobe.com/support/security/bulletins/apsb10-06.html
            reTweet
            Posted by 문스랩닷컴
            blog comments powered by Disqus
              아크로뱃, 포토샵 등으로 유명한 아도브(Adobe) 사에서 또하나의 인기 품목(!)인 플래시에서 보안 취약점이 발견되었습니다. 아직 패치가 나오지 않은 상태이므로 주의가 요망됩니다.

              이 취약점은 그리 심각한 것은 아니라고 판단하였으며 아도브 플래시 CS3와 매크로미디어 플래시 MX 2004 버전에서 발생합니다.

              취약점을 이용하여 공격자는 원격에서 시스템에 접근할 수 있게 되므로 주의해야 합니다.

              취약점은 특수하게 조작된 FLA 파일을 파싱할 때에 알 수 없는 오류 때문에 발생합니다. 공격을 성공하게 되는 경우에는 조작한 FLA 파일을 여는 동안에 의도한 코드를 실행할 수 있습니다.

              아직 아도브 사에서 패치가 출시되지 않은 상태이므로 믿을 수 없는 FLA 파일은 가급적 열거나 하는 등의 주의가 필요합니다.

              출처
              :
              아도브 사:
              http://www.adobe.com/support/security/advisories/apsa08-03.html

              cocoruder:
              http://ruder.cdut.net/blogview.asp?logID=241

              reTweet
              Posted by 문스랩닷컴
              blog comments powered by Disqus
                지난 6월말부터 7월달까지는 첨부 파일에 PDF 문서가 들어 있는 새로운 스팸 메시지가 출현한 적이 있습니다. 하지만, 이 PDF 스팸은 위력이 그리 없어서인지 효과가 없어서 인지는 몰라도 잠시 출현했다가 사라졌습니다.

                참고자료: http://moonslab.com/390

                하지만, 최근 아크로뱃의 보안 취약점을 이용한 새로운 PDF 스팸이 출현하여 주의가 요망됩니다.

                지난 10월말부터 새로운 PDF 스팸이 출현하였습니다. 첨부된 PDF 파일을 열게 되면 기존에는 광고를 보는 정도였지만 이번에는 CVE-2007-5020 취약점(아크로뱃 리더 + IE 7)을 이용하여 악성 프로그램을 특정 서버에서 다운로드하여 실행합니다.

                참고로 아도브 사에서는 이러한 문제점을 해결하는 패치(v8.1 및 이하 버전용)를 지난 10월 22일 경우 발표하였습니다. 가급적 아크로뱃 리더를 최신 버전으로 재설치하여 보안상 취약점을 미리 예방하기 바랍니다.

                아크로뱃 리더 다운로드: http://www.adobe.com/kr/products/acrobat/readstep2.html



                reTweet
                Posted by 문스랩닷컴
                blog comments powered by Disqus


                  Web Analytics Blogs Directory