Durch eine Schwachstelle in Microsoft SQL 7.0/2000 Servern, die den Mixes Mode einsetzen, können gecachte Verbindungen des sa Accounts unautorisiert wieder verwendet werden. Ein Angreifer könnte durch diese Schwachstelle eine gecachte Administrator Verbindung wieder verwenden und somit Kontrolle über die Datenbank/den Server erhalten.

Betroffene Systeme

• Microsoft SQL Server 7.0
• Microsoft SQL Server 2000

Auswirkung
Unautorisierte Erlangung von Privilegien (privilege elevation)
Ein Angreifer könnte Datenbankzugriffe im Sicherheitskontext des Administrators tätigen und beliebigen Programmcode auf dem Server ausführen.

Gefahrenpotential
hoch bis sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Typ der Verwundbarkeit
Designschwäche (design flaw)
Eine Benutzeranfrage kann gecachte Verbindungen, die beispielsweise dem sa Account gehört, wieder verwenden.

Beschreibung
Beendete Client Verbindungen auf den SQL Server werden aus Leistungsgründen kurzfristig gecachte. Durch eine Schwachstelle bei der SQL Abfrage können gecachte Verbindungen, beispielsweise des sa Accounts, durch Benutzeranfragen wieder verwendet werden. Ein Angreifer könnte beispielsweise eine gecachte sa (System Administrator) Verbindung wieder verwenden und somit administrative Privilegien (auf dem Server) erlangen.
Diese Schwachstelle tritt nur bei SQL Servern, die im Mixed Mode betrieben werden, auf und kann nur von authentifizierten Benutzern ausgenutzt werden.
Microsoft SQL Server die im (empfohlenen) Windows Authentication Mode betrieben werden, sind von diese Schwachstelle nicht betroffen.

Gegenmaßnahmen
Microsoft stellt Patches zur Beseitigung dieser Schwachstelle zur Verfügung.

• http://support.microsoft.com/support/kb/articles/Q299/7/17.asp

Workaround
Im Microsoft Security Bulletins MS01-032 wird für den SQL Server 7.0 ein Workaround beschrieben (falls der SP3 und/oder der Patch nicht installiert werden kann).

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/