MS05-026: HTML 도움말의 취약점으로 인한 원격 코드 실행 문제

보안 업데이트 896358 작업의 몇 가지 예

경고 가장 안전한 방법은 레지스트리 해결 방법을 아예 사용하지 않는 것입니다. 레지스트리 해결 방법을 사용해야 할 경우에도 가능한 한 보수적으로 설정하십시오. 예를 들어, 다음과 같은 방법을 사용하십시오.

• MaxAllowedZone 레지스트리 항목을 사용하는 대신 UrlAllowList 레지스트리 항목을 사용합니다. UrlAllowList는 가능한 한 적은 수의 사이트에서 설정합니다.

• MaxAllowedZone 레지스트리 항목을 사용해야 하는 경우 MaxAllowedZone을 필요 이상 높게 설정하지 마십시오. MaxAllowedZone을 3보다 높은 값으로 설정하면 시스템이 인터넷에서 공격을 쉽게 받을 수 있습니다.

조직의 HTML 도움말 사용에 대한 정보를 수집한 후 다음 예가 조직에 보안 업데이트 896358을 적용할 때 사용할 전략을 수립하는 데 유용한지 검토하여 확인하십시오.

보수적 접근 방법의 예

조직이 다음과 같은 조건에 해당될 때 보수적인 접근 방법을 사용할 수 있습니다.

• HTML 도움말 기술을 사용한다고 알려진 웹 응용 프로그램이 없습니다.

• 응용 프로그램이나 시나리오에서 HTML 도움말이 제대로 작동해야 할 필요성보다 보안을 최대로 강화해야 할 필요성이 우선시됩니다.

• HTML 도움말 기술을 사용하는 웹 응용 프로그램이 있지만 다른 기술을 사용하도록 이러한 응용 프로그램을 쉽게 수정할 수 있습니다.

• HTML 도움말 기술을 사용하는 모든 응용 프로그램 및 시나리오가 배포된 응용 프로그램 서버 및 파일 공유를 알고 있거나 쉽게 확인할 수 있습니다. 또는 이러한 응용 프로그램 서버 및 파일 공유에 대해 충분한 보호 조치를 취할 수 있습니다.

• .chm 파일을 파일 공유 같은 원격 위치에서 열 필요가 없습니다.

보수적인 접근 방법의 예로는 다음과 같은 방법이 있습니다.

1. 보안 업데이트 896358을 적용합니다. 그런 다음 그룹 정책 개체를 사용하여 제한을 적용합니다.
   
   기본적으로 보안 업데이트 896358을 설치할 때 레지스트리 항목 중 하나 이상을 수정하지 않으면 보안 업데이트 896358의 보안 완화는 최대한 제한적으로 설정됩니다. 그러나 그룹 정책 개체를 사용하여 개별 사용자가 제한 사항을 스스로 해제하지 못하도록 할 수 있습니다.
   
   다음 레지스트리 파일을 사용하면 보안 업데이트 896358의 보안 완화가 최대한 제한적으로 설정됩니다.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   조직에서 HTML 도움말을 사용하는 웹 응용 프로그램을 사용하지 않고 조직 안의 사용자가 원격 .chm 파일에 액세스할 필요가 없는 경우 여기서 조치를 끝낼 수 있습니다.

2. 웹 응용 프로그램이 HTML 도움말을 사용하는 방법을 조사합니다. 그러면 내부 웹 응용 프로그램 중 일부가 업데이트의 영향을 받고 있음을 알 수 있습니다. 이러한 웹 응용 프로그램의 소유자에게 HTML 도움말 기술을 사용하는 기능을 수정할 수 있는지 확인하십시오. 웹 응용 프로그램이 HTML 도움말 기능 없이도 작동할 수 있는 경우 여기서 조치를 끝낼 수 있습니다.

3. 웹 응용 프로그램을 선택적으로 활성화합니다. 일부 웹 응용 프로그램에서 HTML 도움말 기능을 사용해야 하는 경우 이러한 응용 프로그램을 호스팅하는 서버에 대한 액세스를 선택적으로 다시 활성화할 수 있습니다. 다음 예제 레지스트리 파일을 사용하면 특정 사이트에 대해 HTML 도움말 ActiveX 컨트롤과 InfoTech 프로토콜이 다시 활성화됩니다. 이 예제 레지스트리 파일은 HTML 도움말 ActiveX 컨트롤의 프레임 간 탐색도 다시 활성화합니다.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://contoso/salesapp/"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://contoso/salesapp/"

   참고 사용자는 아직도 웹 페이지에 있는 링크에서 직접 .chm 파일을 열지 못할 수 있습니다.
   이 문제와 해결 방법에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.

   902225 보안 업데이트 896358 또는 Windows Server 2003 서비스 팩 1을 설치한 후 Internet Explorer를 통해 다운로드한 HTML 도움말 파일을 열 수 없다
   
   

덜 보수적인 접근 방법의 예

이 접근 방법은 조직이 다음과 같은 조건에 해당될 때 적합합니다.

• 보안 업데이트 896358이 응용 프로그램에 나쁜 영향을 주는 것을 방지하기 위해 추가적인 위험을 감수할 수 있습니다.

• HTML 도움말 기술을 사용하는 응용 프로그램 및 시나리오를 구체적으로 확인할 수 없습니다.

• 업무에 매우 중요한 웹 응용 프로그램에서 HTML 도움말 기술을 사용합니다. 또는 다른 기술을 사용하도록 이러한 응용 프로그램을 수정하기가 어렵습니다.

덜 보수적인 접근 방법의 예로는 다음과 같은 방법이 있습니다.

1. 보안 업데이트 896358을 적용합니다. 그런 다음 그룹 정책 개체를 사용하여 제한을 적용합니다.
   
   다음 예제 레지스트리 파일을 사용하면 인트라넷의 모든 시스템에서 InfoTech 프로토콜을 통해 HTML 도움말 ActiveX 컨트롤 및 콘텐츠를 제공할 수 있습니다. 이 예제 레지스트리 파일은 HTML 도움말 ActiveX 컨트롤의 프레임 간 탐색도 다시 활성화합니다.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000001
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000001

   참고 사용자는 아직도 웹 페이지에 있는 링크에서 직접 .chm 파일을 열지 못할 수 있습니다.
   이 문제와 해결 방법에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.
   
   

   902225 보안 업데이트 896358 또는 Windows Server 2003 서비스 팩 1을 설치한 후 Internet Explorer를 통해 다운로드한 HTML 도움말 파일을 열 수 없다
   
   

2. 웹 응용 프로그램이 HTML 도움말을 사용하는 방법을 조사합니다. HTML 도움말 기능이 필요한 웹 응용 프로그램을 확인합니다. 이러한 웹 응용 프로그램의 소유자에게 HTML 도움말 기술을 사용하는 기능을 수정할 수 있는지 확인하십시오.

3. 조사 결과에 따라 HTML 도움말 설정을 조정합니다. 조사 결과 웹 응용 프로그램에 HTML 도움말 기능이 더 이상 필요하지 않은 경우에는 다음 레지스트리 파일을 배포하여 보안 업데이트 896358에서 지원하는 최대 제한을 적용할 수 있습니다.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"=""

   일부 웹 응용 프로그램에서 HTML 도움말 기능을 사용해야 하는 경우에는 이 기능을 사용할 수 있도록 활성화되는 시스템을 제한하십시오. 다음 예제 레지스트리 파일을 사용하면 특정 인트라넷 사이트에 대해 HTML 도움말 ActiveX 컨트롤과 InfoTech 프로토콜의 사용이 제한됩니다. 또한 이 예제 레지스트리 파일은 HTML 도움말 ActiveX 컨트롤의 프레임 간 탐색을 계속 허용합니다.

   REGEDIT4
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
   "EnableFrameNavigationInSafeMode"=dword:00000001
   
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
   "MaxAllowedZone"=dword:00000000
   "UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

레지스트리 항목

다음 표에서는 이 문서에서 설명하는 HTML 도움말 레지스트리 항목 및 자세한 내용을 참조할 수 있는 Microsoft 기술 자료 문서를 보여 줍니다.