Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-898

[MS/SQL Server] Pufferüberlaufschwachstelle im SQL Server 2000
(2002-07-25 16:34:34.917164+00) Druckversion

Quelle: http://cert.uni-stuttgart.de/archive/ms/2002/07/msg00008.html

Der Microsoft SQL Server 2000 weist weitere drei Schwachstellen auf, darunter Pufferüberlaufschwachstellen, durch die Angreifer ohne Authentifizierung beliebigen Programmcode über eine Netzwerkverbindung ausführen können.

Betroffene Systeme

  • Microsoft SQL Server 2000
  • Microsoft Desktop Engine (MSDE) 2000

Nicht Betroffene Systeme

  • Microsoft SQL Server 7.0

Einfallstor
UDP-Pakete an den SQL Server Resolution Service (UDP-Port 1434)

Auswirkung

  1. Denial of Service (DoS) sowie Ausführung beliebigen Programmcodes mit den Privilegien des SQL-Servers (standardmäßig sind dies Domänenbenutzer-Privilegien). Möglicherweise wird der Programmcode immer mit SYSTEM-Privilegien ausgeführt.
  2. Denial of Service (DoS)

Typ der Verwundbarkeit

  1. buffer overflow bug
  2. design flaw (Spoofing von keep-alive-Meldungen)

Gefahrenpotential

  1. hoch bis sehr hoch
  2. mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Der SQL Server Resolution Service verwaltet die dynamisch vergebenden Ports, falls mehreren Instanzen des Datenbankservers auf demselben System laufen.

Beschreibung

  1. Der SQL Server Resolution Service weist zwei Pufferüberlaufschwachstellen auf, durch die Angreifer über eine Netzwerkverbindung ohne Authentifizierung am SQL-Server beliebigen Programmcode mit den Privilegien des SQL-Server-Prozesses ausführen können.
  2. Durch eine Schwachstelle im keep alive-Mechanismus, der über den Resolution Service arbeitet, kann ein Denial of Service (DoS) Angriff stattfinden.

Gegenmaßnahmen
Microsoft stellt einen Patch zur Verfügung:

Vulnerability ID

  • CAN-2002-0649 Buffer Overruns in SQL Server Resolution Service
  • CAN-2002-0650 Denial of Service via SQL Server Resolution Service

Weitere Information zu diesem Thema

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.