Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-898

[MS/SQL Server] Pufferüberlaufschwachstelle im SQL Server 2000
(2002-07-25 16:34:34.917164+00)

Quelle: http://cert.uni-stuttgart.de/archive/ms/2002/07/msg00008.html

Der Microsoft SQL Server 2000 weist weitere drei Schwachstellen auf, darunter Pufferüberlaufschwachstellen, durch die Angreifer ohne Authentifizierung beliebigen Programmcode über eine Netzwerkverbindung ausführen können.

Betroffene Systeme

Nicht Betroffene Systeme

Einfallstor
UDP-Pakete an den SQL Server Resolution Service (UDP-Port 1434)

Auswirkung

  1. Denial of Service (DoS) sowie Ausführung beliebigen Programmcodes mit den Privilegien des SQL-Servers (standardmäßig sind dies Domänenbenutzer-Privilegien). Möglicherweise wird der Programmcode immer mit SYSTEM-Privilegien ausgeführt.
  2. Denial of Service (DoS)

Typ der Verwundbarkeit

  1. buffer overflow bug
  2. design flaw (Spoofing von keep-alive-Meldungen)

Gefahrenpotential

  1. hoch bis sehr hoch
  2. mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Der SQL Server Resolution Service verwaltet die dynamisch vergebenden Ports, falls mehreren Instanzen des Datenbankservers auf demselben System laufen.

Beschreibung

  1. Der SQL Server Resolution Service weist zwei Pufferüberlaufschwachstellen auf, durch die Angreifer über eine Netzwerkverbindung ohne Authentifizierung am SQL-Server beliebigen Programmcode mit den Privilegien des SQL-Server-Prozesses ausführen können.
  2. Durch eine Schwachstelle im keep alive-Mechanismus, der über den Resolution Service arbeitet, kann ein Denial of Service (DoS) Angriff stattfinden.

Gegenmaßnahmen
Microsoft stellt einen Patch zur Verfügung:

Vulnerability ID

Weitere Information zu diesem Thema

(tf)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=898