| 취약점ID |
28610 |
| 위험도 |
20 |
| 포트 |
139,445 |
| 프로토콜 |
TCP |
| 분류 |
SMB |
| 상세설명 |
인터넷 익스플로러의 '안전한 것으로 표시된 ActiveX 컨트롤 스크립트' 옵션이 보안 정책에 정의된 값보다 낮게 설정되어 있다. 이는 ActiveX 컨트롤을 포함하는 악의적인 스크립트들이 자동으로 웹 브라우저를 통해서 로컬 컴퓨터 상에서 실행될 수 있는 가능성을 제공한다.
인터넷 익스플로러에는 다섯 개의 웹 컨텐트 영역(Zone)인 인터넷(Internet), 로컬 인트라넷(Local Intranet), 신뢰할 수 있는 사이트(Trusted Sites), 제한된 사이트(Restricted Sites), 내 컴퓨터(My Computer)가 정의되어 있다. 사용자들은 웹 사이트 상의 신뢰도에 따라 해당 웹 컨텐트 영역(Zone)별로 보안 옵션을 설정하여 웹 컨텐트 영역(Zone)에 웹 사이트들을 추가 및 삭제할 수 있다. 각 보안 영역(Zone)을 위한 옵션들 중 '안전한 것으로 표시된 ActiveX 컨트롤 스크립트' 옵션은 이 웹 컨텐트 영역(Zone)안의 스크립트를 포함하고 있는 HTML 페이지로부터 안전한 것으로 표시된 ActiveX 컨트롤이 자동으로 스크립트되는 것을 제어하기 위한 옵션이다.
* 알림: 이 점검항목은 점검하기 위한 원격지 호스트의 레지스트리를 액세스할 수 있는 Guest 혹은 그 이상의 권한을 가진 계정을 필요로 한다. 이러한 조건이 안되면 점검을 수행할 수 없으며 모든 취약한 호스트들에 대해서 거짓 음성반응(False Negative)을 보일 수 있다. 사용자가 웹 컨텐트 영역(Zone) 옵션에 대한 보안 정책을 변경하지 않는다면, 사용자가 웹 컨텐트 영역(Zone) 옵션에 새로운 보안 정책을 적용하지 않는다면, 이 옵션의 디폴트 값은 인터넷 익스플로러 5 버전에 적용된 디폴트 보안 설정값을 기준으로 설정된다.
* 관련 사이트:
http://support.microsoft.com/default.aspx?scid=kb;EN-US;182569
http://support.microsoft.com/default.aspx?scid=kb;EN-US;174360
http://support.microsoft.com/default.aspx?scid=kb;EN-US;300443
http://www.microsoft.com/technet/archive/ie/reskit/ie4/part7/part7a.asp
* 영향을 받는 플랫폼:
Microsoft Internet Explorer Any version
Windows Any version |
| 해결책 |
다음 단계와 같이 적용하여, 인터넷 익스플로러의 보안 설정들을 권고하는 보안 정책을 만족하도록 설정하여야 한다:
Internet Explorer 4의 경우:
1. Internet Explorer를 연다.
2. 보기(View) 메뉴에서 인터넷 옵션(Internet Options)을 선택한다.
3. 보안(security) 탭을 클릭하고 해당 웹 컨텐트 영역(Zone)을 선택한다.
4. 사용자 정의를 클릭하고 설정을 클릭한다.
5. "안전한 것으로 표시된 ActiveX 컨트롤 스크립트" 옵션을 보안 정책에 맞도록 변경한다. 또는, 다음과 같은 권고 설정값으로 변경한다:
- 모든 웹 컨텐트 영역(Zone): 사용
Internet Explorer 5 - 10의 경우:
1. Internet Explorer를 연다.
2. 도구(Tool) 메뉴에서 인터넷 옵션(Internet Options)을 선택한다.
3. 보안(security) 탭을 클릭하고 해당 웹 컨텐트 영역(Zone)을 선택한다.
4. 사용자 정의 수준을 클릭한다.
5. ActiveX 컨트롤 및 플러그 인 영역에서 "안전한 것으로 표시된 ActiveX 컨트롤 스크립트" 옵션을 보안 정책에 맞도록 변경한다. 또는, 다음과 같은 권고 설정값으로 변경한다:
- 모든 웹 컨텐트 영역(Zone): 사용 |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
381 (ISS) |
|
