Der Microsoft SQL-Server 7.0/2000 sowie die Microsoft Data Engine (MSDE) weist mehrere Schwachstelllen auf.

Betroffene Systeme

• Microsoft SQL Server 7.0
• Microsoft Data Engine (MSDE) 1.0
• Microsoft SQL Server 2000
• Microsoft Desktop Engine (MSDE) 2000

Einfallstor

1. Authentifizierung am SQL-Server über das Netzwerk, eine gültige Authentifizierung ist nicht notwendig.
2. SQL-Benutzer mit Zugriff auf DBCC
3. SQL-Benutzer der "geplante Jobs" verwenden kann.

Auswirkung

1. Ausführung beliebigen Programmcodes über das Netzwerk mit den Privilegien des SQL-Server-Prozesses.
   (remote code execution)
2. Ausführung beliebigen Programmcodes mit den Privilegien des SQL-Servers.
3. Schreiben von Dateien mit den Privilegien des SQL-Server-Agent.

Typ der Verwundbarkeit

1. buffer overflow bug
2. buffer overflow bug
3. design flaw

Gefahrenpotential

1. hoch bis sehr hoch
2. hoch
3. hoch

Beschreibung

1. Eine Pufferüberlaufschwachstelle in der Benutzerauthentifizierung des SQL Server 2000 (und MSDE 2000), erlaubt einem Angreifer über das Netz beliebigen Programmcode mit den Privilegien des SQL Servers auszuführen. Eine gültige Authentifizierung scheint dafür nicht notwendig zu sein.
2. Eine Pufferüberlaufschwachstelle in einer den Datenbank Console Commands (DBCCs), die als Teil des SQL-Server 7.0/2000 ausgeliefert werden, ermöglicht SQL-Benutzer die Ausführung von beliebigem Programmcode mit den Privilegien des SQL-Servers.
3. Der SQL-Server 7.0/2000 weist eine Schwachstelle bei der Verarbeitung von geplanten Aufträgen auf, da beim Anlegen von Ausgabedateien die Privilegien des SQL-Server-Agenten und nicht die des SQL-Benutzers verwendet werden. Durch diese Schwachstelle können SQL-Benutzer beliebige Dateien mit den Rechten des SQL-Server-Agent überschreiben bzw. Programmcode mit dessen Privilegien ausführen.

Gegenmaßnahmen
Microsoft stellt Patches zur Verfügung:

• Microsoft SQL Server 7.0:
  http://support.microsoft.com/default.aspx?scid=kb;en-us;Q327068&sd=tech
• Microsoft SQL Server 2000:
  http://support.microsoft.com/default.aspx?scid=kb;en-us;Q316333&sd=tech

Dieser Sammelpatch beinhaltet nachfolgende Sicherheitsupdates nicht:

• MS00-092, RUS-CERT-Meldung #42 [MS/SQL Server] Sicherheitslücke im Microsoft SQL Server
• MS01-041, RUS-CERT-Meldung #434 [MS/Windows,Exchange,SQL] Schwachstelle bei der Verarbeitung von RPC Daten
• MS02-030, RUS-CERT-Meldung #849 [MS/SQL,IIS] Schwachstellen in SQLXM
• MS02-035, RUS-CERT-Meldung #878 [MS/SQL] Schwachstellen in der Installationsprozedur

Vulnerability ID

• CAN-2002-1123 Unchecked buffer in SQL Server 2000 authentication function
• CAN-2002-1137 Unchecked buffer in Database Console Commands
• CAN-2002-1138 Flaw in output file handling for scheduled jobs

Weitere Information zu diesem Thema

• Microsoft Security Bulletin MS02-056 Cumulative Patch for SQL Server (Q316333)

Revisionen dieser Meldung

• V.1.0 (2002-10-06)
• V.1.1 (2002-10-10) Für Windows NT 4.0 ist vor der Installation der angegebenen Patches ein weiteres Update (Q258437) notwendig.

Weitere Artikel zu diesem Thema:

• [Warnung/Angriff] Wettbewerb zum Website-Defacement angekündigt (2003-07-04)
  Am kommenden Sonntag (2003-07-06) soll ein großer Website-Defacement-Wettbewerb stattfinden. Es ist daher mit vermehrten Angriffen auf Rechnersysteme zu rechnen, die einen Webserver betreiben. Webserveradministratoren sind angehalten, ihre Server umfassend auf Schwachstellen zu untersuchen und diese zu beheben.
• [MS/SQL Server, MSDE] Schwachstellen im Microsoft SQL-Server (2002-10-21)
  Die xp_runwebtask stored Procedure, die Web-Tasks ausführt, weist eine Schwachstelle auf, wodurch nicht privilegierte Benutzer mit Zugriff auf den SQL-Server beliebige Web-Tasks ändern können.
• [MS/SQL Server,MSDE] Schwachstellen im Microsoft SQL-Server sowie der MSDE (2002-08-18)
  Die Microsoft SQL Server 7.0/2000 sowie die Microsoft Desktop Engine (MSDE) 1.0/2000 weisen mehrere Schwachstellen auf. Microsoft stellt nun einen Sammelpatch zur Verfügung.
• [MS/SQL Server,MDAC] Pufferüberlaufschwachstelle in Microsoft Data Access Components (2002-08-01)
  Die Microsoft Data Access Components (MDAC) weisen eine Pufferüberlaufschwachstelle in der Transact-SQL (T-SQL)-Komponente auf. Bei SQL-Servern kann diese Schwachstelle zur Ausführung beliebigen Programmcode mit den Privilegien des SQL-Servers ausgenutzt werden.
• [MS/SQL Server,MSDE] Schwachstellen im SQL Server 2000 und der Microsoft Desktop Engine (MSDE) (2002-07-25)
  Der Microsoft SQL Server 2000 und die Microsoft Desktop Engine (MSDE) weisen Schwachstellen in den Database Consistency Checkers (DBCCs) sowie bei der Datenbankreplikation auf.
• [MS/SQL Server 2000,MSDE 2000] Schwachstellen im SQL Server 2000 (2002-07-11)
  Ein Sammelpatch für den Microsoft SQL Server 2000 und SQL Server Desktop Engine (MSDE) 2000 beseitigt unter anderem drei bislang nicht veröffentlichte Schwachstellen.
• [MS/SQL,Jet] Pufferüberlaufschwachstelle im SQL Server 2000 in Kombination mit MS Jet 4.0 (2002-06-21)
  Der Microsoft SQL Server 2000 weist in Kombination mit Microsoft Jet 4.0 eine Pufferüberlaufschwachstelle auf, durch die Angreifer über eine Netzwerkverbindung beliebigen Programmcode auf dem SQL-Server ausführen können.
• [MS/SQL] Zahlreiche Pufferüberlauf-Schwachstellen im Microsoft SQL-Server (2002-03-14)
  Der Microsoft SQL-Server weist zahlreiche Pufferüberlauf-Schwachstellen in den extended stored procedures auf.
• [MS/SQL Server] DoS-Angriff durch Pufferüberlauf-Schwachstelle - Update (2002-03-07)
  Die xp_dirtree-Funktion des Microsoft SQL-Servers weist eine Pufferüberlauf-Schwachstelle auf.
• [MS/SQL] Buffer overflow bug im Microsoft SQL Server (2002-02-25)
  Durch eine Pufferüberlauf-Schwachstelle bei der Verarbeitung von OLE-DB-Provider-Namen einer ad-hoc-Verbindungen kann ein Angreifer beliebigen Programmcode mit den Privilegien des SQL-Servers auf dem beherbergenden System ausführen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/