보안 게시판

Microsoft 보안 게시판 MS02-016 - 보통

단독 읽기 블록 정책 애플리케이션에 대한 그룹 정책 파일 열기(Q318593)

게시 날짜: 2002년 4월 4일 | 업데이트: 2003년 5월 9일

버전: 1.2

원래 게시 날짜: 2002년 4월 4일

업데이트: 2003년 5월 9일

요약

이 공지를 읽어야 하는 사용자: Microsoft® Windows® 2000을 사용하는 네트워크 관리자는 컨트롤러를 기본.

취약성의 영향: 공격자가 그룹 정책의 적용을 차단할 수 있습니다.

최대 심각도 등급: 보통

권장 사항: 관리기본 컨트롤러에 패치를 적용하는 것을 고려해야 합니다.

영향을 받는 소프트웨어:

  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 고급 서버
  • Microsoft Windows 2000 Datacenter Server

일반 정보

기술 세부 정보

기술 설명:

Windows 2000의 그룹 정책은 Active Directory 및 do기본 컨트롤러의 시스템 볼륨에 데이터를 저장하여 구현됩니다. 이 스토리지 위치를 GPO(그룹 정책 개체)라고 합니다. 컴퓨터 또는 사용자가 do기본 로그온하면 GPO를 읽고 포함된 설정을 적용합니다. 이러한 설정의 대부분은 기본적으로 90분마다 새로 고쳐집니다. 그러나 대부분의 운영 체제와 마찬가지로 Windows 2000은 단독 읽기를 포함하여 여러 가지 유형의 읽기 액세스를 제공하므로 공격자가 그룹 정책 파일을 잠글 수 있으므로 사용자가 GPO의 영향을 받는 모든 사용자에게 그룹 정책이 적용되지 않도록 할 수 있습니다.

공격자는 먼저 do기본 정상적으로 로그온한 다음 단독 읽기 액세스 권한으로 그룹 정책 파일을 열어 취약성을 악용할 수 있습니다. 그런 다음 두 번째로 네트워크에 로그온할 수 있습니다. 정책 파일이 잠겨 있으므로 그룹 정책을 적용하지 않고 두 번째 로그온이 발생합니다. 그 결과 두 번째 컴퓨터의 모든 이전 그룹 정책 설정이 다시 적용되지만기본 새 정책 설정은 적용되지 않습니다. 공격자의 두 번째 세션은 가장 최근에 적용된 정책 설정을 사용하여 진행됩니다.

효과는 공격자로만 제한되지 않습니다. 그룹 정책 파일이 잠겨 있는 동안 네트워크에 로그온한 다른 사용자도 새 정책 설정을 적용하지 않고도 로그온합니다. 그러나 공격에 관여하지 않은 사용자는 해당 정책이 차단되었는지 확인할 수 없습니다. 그룹 정책 애플리케이션은 투명한 프로세스이므로 이러한 사용자는 의도한 정책 설정이 적용되지 않은 것을 인식하지 못할 수 있습니다.

완화 요소:

  • 이 취약성으로 인해 공격자가 새 그룹 정책 설정의 적용을 차단할 수 있지만, 이전 로그온 중에 적용된 모든 설정은 다시 기본 적용됩니다.
  • 이 취약성은 네트워크에 선의의 사용자 ID와 암호를 가진 사용자만 악용할 수 있습니다.
  • 공격자의 특정 이득은 관리자가 할 일기본 그룹 정책을 사용자 지정한 정도에 따라 달라집니다.
  • 이 취약성은 공격자가 그룹 정책을 변경하거나 사용자 그룹 멤버 자격을 얻을 수 있는 방법을 제공하지 않습니다.
  • 관리자는 공유 폴더 MMC 스냅인을 사용하여 정책 파일을 연 사용자의 사용자 ID를 확인하여 공격자의 ID를 확인할 수 있습니다.

심각도 등급:

인터넷 서버 인트라넷 서버 클라이언트 시스템
Windows 2000 낮음 일반형 None

위의 평가 는 취약성의 영향을 받는 시스템 유형, 일반적인 배포 패턴 및 취약성 악용이 미치는 영향을 기반으로 합니다. 이 취약성은 인터넷 기반 사용자가 할 일기본 로그온하도록 허용하지 않는 것이 좋습니다. 권한 있는 사용자만 악용할 수 있기 때문에 인터넷 서버의 경우 취약성이 낮다고 평가됩니다기본. 워크스테이션에서 취약성을 악용할 수 있지만 취약성 자체가 컨트롤러에 영향을 미치기 때문에 클라이언트 시스템에 대해 "없음"으로 평가됩니다기본.

취약성 식별자:CAN-2002-0051

테스트된 버전:

Microsoft는 Windows XP, Windows 2000 및 Windows NT® 4.0을 테스트하여 이 취약성의 영향을 받는지 평가했습니다. Windows NT 4.0은 그룹 정책을 지원하지 않으며 Windows XP는 클라이언트 전용 시스템이므로 Windows NT 4.0 또는 Windows XP는 취약성의 영향을 받지 않습니다. 이전 버전은 더 이상 지원되지 않으며 이러한 취약성의 영향을 받을 수도 있고 영향을 받지 않을 수도 있습니다.

자주 묻는 질문

취약성의 범위는 무엇인가요?
이 취약성으로 인해 공격자가 Windows 2000 do기본 내에서 그룹 정책의 적용을 차단할 수 있습니다. 그룹 정책을 사용하면 do기본 관리자가 보안 설정, 데스크톱 설정 및 설치할 수 있는 애플리케이션과 같은 네트워크의 컴퓨터 및 사용자 그룹에 대한 설정을 지정할 수 있습니다. 정책을 차단하면 공격자가 관리자가 제정한 새 정책 설정의 적용을 받지 않고 이전 정책 설정을 유지할 수 있습니다. 이 취약성에는 다음과 같은 몇 가지 제한 사항이 적용됩니다.

  • 이전 로그온 중에 그룹 정책 설정이 적용된 경우 다시 적용됩니다기본 새 정책만 차단됩니다.
  • 합법적인 네트워크 사용자만 악용할 수 있습니다.
  • 공격이 진행되는 동안 관리자가 공격자의 ID를 확인할 수 있습니다.
  • 공격자가 다른 사용자 계정에 로그인하거나 다른 사용자 그룹의 멤버 자격을 얻을 수 없습니다.
  • 공격자가 네트워크의 그룹 정책을 변경할 수 있는 기회를 제공하지 않고 애플리케이션을 일시적으로 차단할 수 있습니다.

취약성의 원인은 무엇인가요?
이 취약성은 그룹 정책 파일을 잠글 수 있으므로 다른 사용자가 파일을 읽지 못하게 하기 때문입니다. 그룹 정책 파일을 읽을 수 없는 경우 컴퓨터 또는 사용자 세션에 새 정책 설정을 적용할 수 없습니다.

그룹 정책이란?
그룹 정책은 네트워크 관리자가 사용자가 사용할 수 있는 많은 옵션을 구성할 수 있도록 하는 Windows 2000에서 도입된 기술입니다. 관리자는 그룹 정책을 통해 네트워크 전체의 사용자 및 컴퓨터에 적용되는 설정을 규제할 수 있습니다. 예를 들어 관리자는 그룹 정책을 사용하여 보안 설정을 규제하고, 사용자의 시스템에 소프트웨어를 자동으로 설치하고, 사용자의 데스크톱을 사용자 지정하는 등의 작업을 수행할 수 있습니다.

그룹 정책은 어떻게 구현되는가?
그룹 정책은 Active Directory 내에서 GPO(그룹 정책 개체)라는 데이터 구조 형식으로 저장됩니다. 다양한 유형의 정책 설정은 불연속 파일로 저장됩니다. 예를 들어 바탕 화면의 모양과 느낌을 조절하는 정책 설정은 한 파일에 저장되고 다른 정책 설정 정보는 다른 파일에 포함됩니다. Windows 2000 컴퓨터는 부팅할 때마다 해당 do기본 컨트롤러에 연결하고 그룹 정책 파일을 읽고 컴퓨터에 적용되는 정책 설정을 적용합니다. 마찬가지로 사용자가 네트워크에 로그온할 때마다 Windows 2000은 do기본 컨트롤러에 연결하고 그룹 정책 파일을 읽고 사용자에게 적용되는 설정을 적용합니다. 또한 Windows 2000은 90분마다 정기적으로 정책 설정을 새로 고칩니다.

Windows 2000에서 그룹 정책을 구현하는 방법에 문제가 있나요?
Windows 2000은 다른 사용자가 파일을 읽지 못하게 하는 단독 읽기 모드를 포함하여 파일을 열 수 있는 다양한 모드를 제공합니다. 그룹 정책 파일을 이 모드에서 열 수 있으며, 이 작업이 완료되면 다른 사용자 또는 컴퓨터가 해당 파일을 열 수 없으므로 그룹 정책 설정을 적용하지 못하게 됩니다.

사용자가 단독 읽기 액세스를 위해 파일을 열 수 있도록 허용하는 것이 결함이 있나요?
아니요. 대부분의 운영 체제는 독점적인 읽기 기능을 제공합니다. 물론 사용자는 읽기 권한이 부여된 경우에만 파일을 잠글 수 있으므로 파일 소유자는 항상 자유롭게 파일을 잠글 수 있습니다. 그러나 항상 모든 사용자가 항상 읽을 수 있어야 하는 그룹 정책 파일의 경우 단독 읽기 옵션을 제공하는 것은 부적절합니다.

공격자가 이 취약성을 통해 무엇을 할 수 있나요?
공격자는 이 취약성을 사용하여 네트워크에서 그룹 정책 설정의 적용을 차단할 수 있습니다. 특히 공격자는 일반적으로 네트워크에 로그온하고 하나 이상의 GPO에서 하나 이상의 파일을 잠가 다른 시스템에서 두 번째로 로그온할 수 있습니다. 두 번째 로그온은 그룹 정책을 적용하지 않고 수행됩니다. 마찬가지로 공격이 진행되는 동안 다른 사용자 또는 컴퓨터가 로그온된 경우 그룹 정책도 적용되지 않습니다.

공격자가 두 번째로 로그온할 때 그룹 정책 설정이 적용되지 않음을 의미합니까?
경우에 따라 다릅니다. Windows 2000이 그룹 정책을 적용하면 로컬 시스템의 설정이 변경되고 나중에 다시 변경되지 않는 한 변경된 설정이 다시 적용됩니다기본. 그룹 정책 파일을 잠그면 공격자가 새 정책이 적용되지 않도록 방지할 수 있지만 이전에 적용된 정책은 여전히 적용됩니다. 이는 공격자가 이전에 그룹 정책을 적용한 시스템을 통해 로그온한 경우 이전 정책 설정이 다시 적용된다는 것입니다기본. 반면에 공격자가 그룹 정책을 적용한 적이 없는 시스템을 통해 로그온한 경우 기본 설정이 다시 적용됩니다기본.

공격자가 그룹 정책을 차단하여 얻을 수 있는 추가 권한은 무엇인가요?
그룹 정책 차단의 효과는 공격자가 머신에서 마지막으로 로그온한 이후 관리자가 그룹 정책 설정을 변경했는지 여부와 변경된 특정 변경 내용에 따라 달라집니다.

GPO의 파일이 잠겨 있는 동안 네트워크에 로그온한 다른 사용자는 어떻습니까? 그룹 정책도 차단되나요?
예. 그룹 정책 파일이 잠긴 경우 공격자뿐만 아니라 로그온한 모든 사용자는 그룹 정책을 적용하지 않고도 로그온합니다. 그러나 여기서 기억해야 할 중요한 점은 그룹 정책이 투명한 프로세스라는 것입니다. 공격자는 자신이 파일을 잠갔다는 것을 알 수 있기 때문에 적용되지 않았다는 것을 알게 될 것입니다. 그러나 다른 사용자는 그룹 정책이 차단되었다는 표시가 없습니다. 그러나 결과 정책 집합을 표시하는 도구가 있으며, 사용되는 경우 적용된 정책과 적용된 시기를 사용자에게 표시합니다.

누가 취약점을 악용할 수 있습니까?
합법적인 네트워크 사용자만 취약성을 악용할 수 있습니다. 즉, 공격자는 do기본 계정에 대한 선의의 사용자 ID와 암호를 이미 가지고 있어야 합니다.

누군가가 취약점을 악용한 경우 알 수 있습니까?
예. Microsoft 관리 콘솔에 대한 공유 파일 스냅인을 통해 관리자는 누가 공격을 수행했는지 알 수 있습니다. 스냅인을 사용하면 관리자가 특정 파일이 열려 있는 사용자의 ID를 확인할 수 있습니다. 정책 파일이 열려 있는 사용자를 확인하기 위해 검사 관리자가 공격자가 누구인지 확인할 수 있습니다.

이 취약성으로 공격자가 그룹 정책을 변경할 수 있나요?
아니요. 이 취약성은 공격자가 정책 파일에 대한 쓰기 액세스 권한을 얻을 수 있는 기회를 제공하지 않습니다.

인터넷에서 사용자가 이 취약성을 악용할 수 있나요?
네트워크 관리자가 할 일을 노출하도록 선택한 경우에만기본 인터넷에 직접 노출하고 인터넷 기반 사용자가 로그온할 수 있도록 허용합니다. 그러나 표준 모범 사례는 이 작업을 수행하지 않는 것이 좋습니다.

이 취약성으로 공격자가 다른 사용자로 로그온할 수 있나요?
아니요. 그룹 정책을 차단해도 사용자가 다른 사용자로 로그인할 수 없으며 사용자 계정의 그룹 멤버 자격도 변경되지 않습니다. 예를 들어 이 취약성은 공격자에게 관리자 권한으로 네트워크에 로그온하는 수단을 제공하지 않습니다.

패치를 적용해야 하는 시스템은 무엇인가요?
패치는 기본 컨트롤러에만 적용해야 합니다.

내 do기본 컨트롤러가 Windows NT 4.0을 실행하고 있습니다. 패치가 필요한가요?
아니요. 그룹 정책은 Windows 2000에서 도입되었으며 Windows NT 4.0에는 존재하지 않습니다.

Windows NT 4.0 do기본 컨트롤러를 실행하고 있지만 워크스테이션에서 Windows 2000을 사용합니다. 패치가 필요한가요?
아니요. 중요한 것은 기본 컨트롤러가 사용하는 운영 체제입니다. 클라이언트 시스템은 중요하지 않습니다. 할 일기본 컨트롤러가 Windows 2000을 실행하는 경우 패치가 필요합니다. 다른 운영 체제를 실행하는 경우 그렇지 않습니다.

Windows XP가 취약성의 영향을 받나요?
아니요. Windows XP에서는 단독 읽기용으로 파일을 열 수 있지만 이는 do기본 컨트롤러에만 저장되는 그룹 정책 파일의 특정 사례에만 문제가 된다는 점에 유의하세요. Windows XP는 do기본 컨트롤러로 사용할 수 없으므로 취약성의 영향을 받지 않습니다.

패치는 취약성을 어떻게 제거하나요?
이 패치로 인해 Windows 2000은 그룹 정책 파일에 대한 읽기 요청을 모니터링하고, 단독 읽기 액세스에 대한 모든 요청을 공유 읽기 액세스에 매핑합니다.

패치 사용 가능성

이 패치의 다운로드 위치

이 패치에 대한 추가 정보

설치 플랫폼:

이 패치는 Windows 2000 서비스 팩 2를 실행하는 시스템에 설치할 수 있습니다.

향후 서비스 팩에 포함:

이 문제에 대한 수정 사항은 Windows 2000 서비스 팩 3에 포함됩니다.

다시 부팅 필요: 예

대체된 패치:

이 패치는 Microsoft 보안 게시판 MS01-036에 제공된 패치를 대체합니다.

패치 설치 확인:

  • 패치가 컴퓨터에 설치되었는지 확인하려면 컴퓨터에 다음 레지스트리 키가 만들어졌는지 확인합니다.

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\업데이트\Windows 2000\SP3\Q318593.

  • 개별 파일을 확인하려면 다음 레지스트리 키에 제공된 날짜/시간 및 버전 정보를 사용합니다.

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\업데이트\Windows 2000\SP3\Q318593\Filelist.

주의 사항:

None

지역화:

이 패치의 지역화된 버전은 "패치 가용성"에 설명된 위치에서 사용할 수 있습니다.

다른 보안 패치 가져오기:

다른 보안 문제에 대한 패치는 다음 위치에서 사용할 수 있습니다.

기타 정보:

지원:

  • Microsoft 기술 자료 문서 Q318593 이 문제에 대해 설명하며 이 공지가 릴리스된 후 약 24시간 후에 사용할 수 있습니다. 기술 자료 문서는 Microsoft Online 지원 웹 사이트에서 찾을 수 있습니다.
  • 기술 지원은 Microsoft 제품 지원 서비스에서 사용할 수 있습니다. 보안 패치와 관련된 지원 호출에는 요금이 부과되지 않습니다.

보안 리소스: Microsoft TechNet 보안 웹 사이트는 Microsoft 제품의 보안에 대한 추가 정보를 제공합니다.

고지 사항:

Microsoft 기술 자료에 제공된 정보는 어떠한 종류의 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 특정 목적에 대한 상품성 및 적합성에 대한 보증을 포함하여 명시적이거나 묵시적인 모든 보증을 부인합니다. 어떠한 경우에도 Microsoft Corporation 또는 해당 공급업체는 Microsoft Corporation 또는 공급업체가 이러한 손해의 가능성을 통보한 경우에도 직접, 간접, 부수적, 결과적, 비즈니스 이익 손실 또는 특별 손해를 포함한 모든 손해에 대해 책임을 지지 않습니다. 일부 주에서는 결과적 또는 부수적 손해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 앞에서 설명한 제한이 적용되지 않을 수 있습니다.

개정:

  • V1.0(2002년 4월 4일): 공지를 만들었습니다.
  • V1.1(2002년 4월 8일): MS01-036이 이 패치로 대체되었음을 나타내기 위해 "추가 정보" 섹션이 업데이트되었습니다.
  • V1.2(2003년 5월 9일): Windows 업데이트 다운로드 링크가 업데이트되었습니다.

2014-04-18T13:49:36Z-07:00에 빌드

  • Last updated on