※위험도: 상

※공격유형: 원격에서 MDAC서비스를 운영중인 시스템에 관리자 권한 획득 및 명령 실행

※공격설명:

 MDAC(Microsoft Data Access Components)는 원격 데이터베이스에 연결하고 클라이언트에 
데이터를 반환하는 것과 같은 다양한 데이터베이스 작업에 대한 기본 기능을 제공하는 컴
포넌트이다. 네트워크에 존재하는 클라이언트 시스템은 SQL Server를 실행하고 있거나, 네
트워크에 있는 컴퓨터의 목록을 보려고 할 때, 네트워크에 있는 모든 장치에 브로드캐스
트 요청을 보낸다. 이때 악의적인 공격자는 특정 MDAC 구성 요소의 취약점을 이용하여 버
퍼 오버런을 일으키는 특수 패킷을 보내 요청에 응답한다. 결과적으로 공격자는 이 취약점
을 악용하여 해당시스템에서 브로드캐스트한 프로그램이 실행된 권한과 동일한 권한을 획
득하여 임의 명령을 수행할 수 있다.

※취약시스템:

Microsoft Data Access Components 2.5 (Microsoft Windows 2000에 포함) 
Microsoft Data Access Components 2.6 (Microsoft SQL Server 2000에 포함) 
Microsoft Data Access Components 2.7 (Microsoft Windows XP에 포함) 
Microsoft Data Access Components 2.8 (Microsoft Windows Server 2003에 포함)   

※취약 운영체제:

Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Server
Microsoft Windows Server 2003 Datacenter Edition
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Web Edition
Microsoft Windows XP Home Edition
Microsoft Windows XP Professional

※취약 MDAC 버전:

취약점은 MDAC 2.5와 2.6와 2.7와 2.8에 영향을 미친다. 아래 레지스트리 키 값에서 확인 
가능하다

※HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DataAccess\FullInstallVer

※공격대상 서버포트: 1434/UDP

※공격영향: 접근권한을 획득하여 임의 명령을 수행 할 수 있다.

※해결방안:

 1. inbound 트래픽을 허용하지 못하도록 1434/UDP를 차단한다.

이와 같이 설정한 경우 SQL 클라이언트 시스템이 SQL 브로드캐스트 하지 않는다. 

예) Windows 2000 기반 컴퓨터에서 발생한 네트워크 트래픽이 UDP 1434에서 해당 호스트
로   인바운드되는 것을 차단할 경우 ipsecpol -w REG -p "Block UDP 1434 Filter" -
r "Block Inbound UDP 1434 Rule" -f *=0:1434:UDP -n BLOCK -x

2. 다음 사이트를 이용하여 보안업데이트 한다. 

http://www.microsoft.com/korea/technet/security/bulletin/ms04-003.asp  

※참고자료:

http://www.microsoft.com/korea/technet/security/bulletin/ms04-003.asp  
http://www.ciac.org/ciac/bulletins/o-053.shtml  

취약점 발표일: 2004-01-14