국내 압축 유틸리티 ZIP 파일 포멧 핸들링 취약성
Author - 박찬암(hkpco) E-Mail - chanam.park@hkpco.kr Website - http://hkpco.kr/ 발표일: 2010. 06. 24
1. 개요 압축 유틸리티가 ZIP 파일 포멧의 File name 필드를 파싱 및 핸들링하는 과정에서 버퍼 오버플로우 취약성이 존재합니다. 이러한 문제점은 해당 프로그램의 크래쉬(Crash) 또는 악의적인 코드의 실행과 같은 결과로 이어질 수 있습니다. 현재까지 확인되어진 취약한 유틸리티는 빵집, V3ZIP, 밤톨이 등입니다. * 추가사항 압축 유틸리티의 취약성 발견에서부터 익스플로잇 작성까지의 전체 과정은 빵집을 대상으로 진행하였으며, 개인적으로 모든 유틸리티에 대한 익스플로잇의 작성은 특별한 필요성을 느끼지 못하여 크래쉬(Crash)의 가능 여부를 확인하는 선에서 종료하였습니다. 개요 시작부에 크래쉬(Crash)와 악의적인 코드의 실행을 '또는'으로 구분지어 놓은것도 그러한 이유에서입니다. 아무튼, 추가적으로 V3ZIP을 확인해본 결과, 크래쉬(Crash)나 일부 레지스터의 조작 가능성이 존재하기는 하지만, 해당 유틸리티를 통한 실제 익스플로잇의 결과로 악의적인 코드를 실행하는것은 사실상 힘든것으로 판단되어짐을 밝힙니다. 2. 익스플로잇 취약한 .zip 파일이나 이를 생성하는 공격 코드는 일정 시간이 지난 뒤 공개하거나, 아예 공개하지 않을 생각입니다. 3. 시연 동영상 국내 유명 압축 유틸리티인 빵집의 취약성을 이용하여 악의적인 코드(여기서는 cmd.exe라고 가정)를 실행시키는 동영상입니다. 유틸리티를 통하여 ZIP 파일을 열어보는 각각의 경우에 대해 공격이 성립하는 결과를 보여줄 것이며, 세 가지 상황이 있습니다. 첫번째는 가장 일반적으로 사용하는 더블 클릭으로 파일을 열었을 때이고, 두번째는 빵집의 열기 기능으로 파일을 열었을 때, 마지막으로 세번째는, 빵집은 대상 파일을 마우스 오른쪽 버튼으로 클릭할 경우 미리보기 기능이 제공되므로 이러한 부가 기능을 ZIP 파일에 적용하였을 경우가 되겠습니다. 본 시연은 Windows XP SP3 한국어 버전에서 테스트 되었습니다. 4. 해결책 개발자는 ZIP 파일 포멧의 File name 필드를 파싱 또는 핸들링할 당시 크기에 대한 경계치를 체크해야 하며, 사용자의 경우 보안 패치가 적용된 압축 유틸리티로 업데이트 해야합니다. * 오늘 일자(06/24)로 빵집의 새 버전이 공개되었으니 업데이트를 통하여 패치하시길 바랍니다.