22019,

1/1101

멍멍

http://www.hackerschool.org

RTF 포맷에서의 신규취약점

http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=23653 [복사]

[POC 코드]
http://www.exploit-db.com/exploits/18780/

[관련 포스팅]
http://contagiodump.blogspot.com.es/2012/04/cve2012-0158-south-china-sea-insider.html

[RTF 명세서]
http://msdn.microsoft.com/en-us/library/aa140277%28v=office.10%29.aspx

[OLE 삽입부분]
http://msdn.microsoft.com/en-us/library/aa140283(v=office.10).aspx#rtfspec_25

[패치정보]
http://technet.microsoft.com/en-us/security/bulletin/ms12-027

취약점이 발견된지는 2주정도 된 것 같고, 오늘 metasploit에 추가되었네요

오피스 워드나 워드패드를 열어서 메뉴 아이콘들을 보면 "개체삽입"이라는 항목이 보이는데,
이를 통해서 취약점이 있는 ActiveX를 삽입한 공격방식입니다.

취약점이 존재하는 ActiveX는 MSCOMCTL.OCX이고요, Visual Studio나 오피스에 딸린 걸줄 알았는데
윈도우에 기본으로 설치되어있기도 한 파일이네요.
이름은 "Microsoft Windows Common Controls 6.0 (SP6)" 입니다

ActiveX라고해서 웹에서 자바스크립트나 비베스크립트로 실행하는 공격방식이 아닌,
이 취약한 ActiveX를 RTF에 embedded 시켜서 공격하는 방식입니다.
얘를 웹에서 호출하려고하면 권한문제로 노란 경고창이 뜰 겁니다.
만약 웹에서도 실행 가능한 ActiveX였다면 문제가 더 커졌었겠죠..

취약점의 원리는 스택기반 버퍼 오버플로우이고요,
MSCOMCTL.OCX 내의 ListView 혹은 TreeView 컨트롤에서 발생한다고 하네요.

MS에선 패치에 대한 임시방편으로 문제의 activex에 대한 kill bit 적용하라고하는데..
엥 좀 이상하네요 IE를 공격하는 것이 아닌데? =_=
최신 업데이트를 받는 게 가장 확실할 것 같습니다.

Hit : 8845 Date : 2012/04/26 11:54


dkdkfjgh	음.... POC 나왔으니, 공격이 성행하겠군요.... 그리고 MS의 땜질 아닌 땜질...	2012/05/02