Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-1496

[MS/MS SQL] Schwachstelle im MS SQL Server (UPDATE)
(2008-12-10 14:18:51.033611+00) Druckversion

Quelle: http://archive.cert.uni-stuttgart.de/bugtraq/2008/12/msg00090.html

Eine Schwachstelle im Datenbanksystem Microsoft SQL Server kann von einem Angreifer dazu ausgenutzt werden, durch den Aufruf einer voreingestellt verwendbaren Prozedur beliebigen Programmcode auf dem beherbergenden System mit den Privilegien des SQL-Server-Prozesses auszuführen.

Inhalt

Zusammenfassung

Betroffen: MS SQL Server
Einfallstor: sp_replwritetovarbin
Angriffsvoraussetzung:DB user credentials
Angriffsvektorklasse: application user
Auswirkung: user compromise
Typ: Pufferüberlaufschwachstelle
Gefahrenpotential: mittel bis hoch
Workaround: ja
Gegenmaßnahmen: bislang kein Patch verfügbar
Vulnerabilty ID: CVE-2008-5416, CVE-2008-4270
UPDATE: Betroffene Systeme
Nicht betroffene Systeme
Vulnerability ID

Betroffene Systeme

(UPDATE)
  • Microsoft SQL Server 2000 SP4
  • Microsoft SQL Server 2000 Itanium-basierte Edition SP4
  • Microsoft SQL Server 2005 SP2
  • Microsoft SQL Server 2005 x64 Edition SP2
  • Microsoft SQL Server 2005 with SP2 für Itanium-basierte Systeme
  • Microsoft SQL Server 2005 Express Edition SP2
  • Microsoft SQL Server 2005 Express Edition mit "Advanced Services" SP2
  • Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) SP4
  • Microsoft SQL Server 2000 Desktop Engine (WMSDE)
  • Windows Internal Database (WYukon) SP2

Nicht betroffene Systeme

(UPDATE)
  • Microsoft SQL Server 7.0 SP4
  • Microsoft SQL Server 2005 SP3
  • Microsoft SQL Server 2005 x64 Edition SP3
  • Microsoft SQL Server 2005 SP3 für Itanium-basierte Systeme
  • Microsoft SQL Server 2008
  • Microsoft SQL Server 2008 x64 Edition
  • Microsoft SQL Server 2008 für Itanium-basierte Systeme

Einfallstor

  • Aufruf der stored procedure sp_replwritetovarbin

Angriffsvoraussetzung

  • gültiger Berechtigungsnachweis für den Zugriff auf die Datenbank
    Dabei müssen die Privilegien derart sein, dass die entsprechende Prozedur aufgerufen werden kann. Voreingestellt kann sie von jedem Datenbankbenutzer aufgerufen werden.
    (user credentials)

Angriffsvektorklasse

  • Applikationsbenutzer, auch über eine Netzwerkverbindung
    (application user)

Auswirkung

  • Ausführung beliebigen Programmcodes auf dem beherbergenden System mit den Privilegien des SQL-Servers
    (user compromise)

Typ der Verwundbarkeit

  • Pufferüberlaufschwachstelle
    (buffer overflow bug)

Gefahrenpotential

  • Je nach der Verwendung des Severs
    mittel bis hoch

(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung

Durch den Aufruf der extended stored procedure sp_replwritetovarbin mit uninitialisierten Variablen als Parameter kann ein Pufferüberlauf provoziert werden. Dieser Umstand kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Betriebssystem mit den Privilegien des SQL-Server-Prozesses auszuführen.

Um die Prozedur aufrufen zu können, muss der Angreifer im Besitz eines Berechtigungsnachweises eines Datenbankbenutzers sein, der die entsprechenden Privilegien besitzt. Voreingestellt sind jedoch keine speziellen Privilegien erforderlich, da die Prozedur von jedem Datenbankbenutzer aufgerufen werden kann.

Die recht hohen Hürden zur erfolgreichen Ausnutzung der Schwachstelle relativieren sich möglicherweise, wenn ein betroffener SQL Server z.B. als Backend einer Web-Applikation eingesetzt wird und über eine Web-Schnittstelle Anfragen an den Server geschickt werden können. Je nach Implementierung der Applikation kann die Schwachstelle u.U. über das Netzwerk ausgenutzt werden, ohne dass der Angreifer irgendwelche Voraussetzungen erfüllen muss.

Workaround

  • Entfernung der Prozedur sp_replwritetovarbin aus einer betroffenen SQL Server Installation
    Dazu ist das folgende Kommando mit Administratorprivilegien auszuführen:
      execute dbo.sp_dropextendedproc 'sp_replwritetovarbin'
      
    Siehe dazu auch: "Removing an Extended Stored Procedure from SQL Server"

Gegenmaßnahmen

  • Bislang wurde noch kein Patch zur Behebung der Schwachstelle veröffentlicht.

Vulnerability ID

Hier ist bemerkenswert, dass CVE-2008-4270 bislang lediglich reserviert wurde und keine Detaildaten enthält, während CVE-2008-5416 Referenzen enthält, die auf Dokumente zeigen, die wiederum CVE-2008-4270 referenzieren.

Weitere Information zu diesem Thema

Exploit Status

  • Exploitcode ist in Umlauf

Revisionen dieser Meldung

(og)

Weitere Artikel zu diesem Thema:

  • [MS/Windows] Microsoft stellt Patches für insgesamt acht Schwachstellen bereit (2009-02-10)
    Im Rahmen seines Microsoft Security Bulletin Summary for February 2009 stellt Microsoft Patches für insgesamt acht Schwachstellen bereit, die dazu ausgenutzt werden können, beliebigen Programmcode auf dem beherbergenden System auszuführen bzw. es in einen unbenutzbaren Zustand zu versetzen. Die Schwachstellen betreffen den Intenet Explorer, den SQL Server, Microsoft Exchange und Microsoft Visio.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.