國家資通安全會報技術服務中心

漏洞/資安訊息通告

發布編號

ICST-ANA-2008-0003

發布時間

2008/03/26 14:27:07

事件類型

漏洞預警

發現時間

2008/03/06

通告名稱

微軟Jet資料庫引擎零時差變異攻擊手法通告

內容說明
技服中心近期發現駭客透過微軟Windows作業系統內建之Jet資料庫引擎(Jet Database Engine)弱點對政府機關進行新型變異手法之攻擊，由於此攻擊手法極具威脅性，請各單位嚴加注意與防範。

Microsoft Jet資料庫引擎為內建於Windows作業系統中的資料庫處理元件，該元件於2007年11月間被揭露具有可執行任意程式的弱點，而相關的攻擊也已經在實際環境中大量出現。此弱點至今尚未修補，尚屬零時差攻擊，各單位需提高警覺。

傳統上利用該弱點的攻擊手法多半是經由寄送夾帶特殊設計之*.mdb (Access檔案)附件之惡意電子郵件，誘騙使用者開啟。然而多半使用者對於*.mdb檔案開啟機率不高，也使得這類攻擊手法的成功率降低。

近期技服中心發現駭客使用新型變異手法包裝該弱點，可能使成功機率大幅提升。此變異攻擊手法是透過Word文件引用惡意mdb中的資料，間接開啟含有惡意程式之mdb檔案，進而觸發弱點並植入惡意程式。由於使用者對於Word文件的警戒心較低，因此可能大幅提升開啟惡意附件的機率，也提升該攻擊的威脅性。

在實際的攻擊案例上，駭客會透過電子郵件一次寄送二個Word文件，其中一個是真正Word格式的文件檔，另外一個其實是偽裝成Word副檔名之mdb格式檔案；當使用者開啟其中真正的Word文件檔時，即會觸發此弱點。不過該攻擊案例中，二個檔案必須同時另存於同一路徑下才會成功。

技服中心也發現其他進階的攻擊案例，駭客將該兩個檔案利用ZIP或RAR壓縮後，直接寄送壓縮檔附件給使用者，意圖迫使使用者將附件檔案解壓縮後放置於同一路徑下開啟，以增加成功機率。

這次的攻擊是使用Word檔案引入惡意mdb檔案進行攻擊，而類似的技術也可以應用在其他軟體中，例如使用Excel或PowerPoint檔案中引入惡意mdb，因此未來不排除可能有利用其他格式配合此弱點的攻擊手法出現，請各單位嚴加注意。若發現可疑的攻擊，請聯絡技服中心。

影響平台

執行於Windows 2000、Windows XP及Windows Server 2003 SP1以下(含SP1)

影響等級

高

建議措施

請勿開啟未受確認之電子郵件附件檔案。
此弱點目前尚待廠商提供修補程式。

參考資料

http://www.microsoft.com/technet/security/advisory/950627.mspx
http://www.securityfocus.com/bid/28398/
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1092

國家資通安全會報技術服務中心 (http://www.icst.org.tw/)
地址：台北市富陽街116號
聯絡電話： 02-27339922
傳真電話： 02-27331655
電子郵件信箱： service@icst.org.tw

發布編號	ICST-ANA-2008-0003	發布時間	2008/03/26 14:27:07
事件類型	漏洞預警	發現時間	2008/03/06
通告名稱	微軟Jet資料庫引擎零時差變異攻擊手法通告
內容說明	技服中心近期發現駭客透過微軟Windows作業系統內建之Jet資料庫引擎(Jet Database Engine)弱點對政府機關進行新型變異手法之攻擊，由於此攻擊手法極具威脅性，請各單位嚴加注意與防範。 Microsoft Jet資料庫引擎為內建於Windows作業系統中的資料庫處理元件，該元件於2007年11月間被揭露具有可執行任意程式的弱點，而相關的攻擊也已經在實際環境中大量出現。此弱點至今尚未修補，尚屬零時差攻擊，各單位需提高警覺。傳統上利用該弱點的攻擊手法多半是經由寄送夾帶特殊設計之.mdb (Access檔案)附件之惡意電子郵件，誘騙使用者開啟。然而多半使用者對於.mdb檔案開啟機率不高，也使得這類攻擊手法的成功率降低。近期技服中心發現駭客使用新型變異手法包裝該弱點，可能使成功機率大幅提升。此變異攻擊手法是透過Word文件引用惡意mdb中的資料，間接開啟含有惡意程式之mdb檔案，進而觸發弱點並植入惡意程式。由於使用者對於Word文件的警戒心較低，因此可能大幅提升開啟惡意附件的機率，也提升該攻擊的威脅性。在實際的攻擊案例上，駭客會透過電子郵件一次寄送二個Word文件，其中一個是真正Word格式的文件檔，另外一個其實是偽裝成Word副檔名之mdb格式檔案；當使用者開啟其中真正的Word文件檔時，即會觸發此弱點。不過該攻擊案例中，二個檔案必須同時另存於同一路徑下才會成功。技服中心也發現其他進階的攻擊案例，駭客將該兩個檔案利用ZIP或RAR壓縮後，直接寄送壓縮檔附件給使用者，意圖迫使使用者將附件檔案解壓縮後放置於同一路徑下開啟，以增加成功機率。這次的攻擊是使用Word檔案引入惡意mdb檔案進行攻擊，而類似的技術也可以應用在其他軟體中，例如使用Excel或PowerPoint檔案中引入惡意mdb，因此未來不排除可能有利用其他格式配合此弱點的攻擊手法出現，請各單位嚴加注意。若發現可疑的攻擊，請聯絡技服中心。
影響平台	執行於Windows 2000、Windows XP及Windows Server 2003 SP1以下(含SP1)
影響等級	高
建議措施	請勿開啟未受確認之電子郵件附件檔案。此弱點目前尚待廠商提供修補程式。
參考資料	http://www.microsoft.com/technet/security/advisory/950627.mspx http://www.securityfocus.com/bid/28398/ http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1092
國家資通安全會報技術服務中心 (http://www.icst.org.tw/) 地址：台北市富陽街116號聯絡電話： 02-27339922 傳真電話： 02-27331655 電子郵件信箱： service@icst.org.tw