CERT-FI haavoittuvuustiedote 067/2002

3.10.2002

Useita haavoittuvuuksia Microsoft SQL Server –ohjelmistoissa


Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Microsoft SQL Server –ohjelmistoista on löydetty seuraavat uudet haavoittuvuudet:

Puskuriylivuoto käyttäjän todennuksessa SQL Server 2000 –ohjelmistossa. Haavoittuvuutta voidaan hyväksikäyttää lähettämällä kohdejärjestelmään tietyntyyppinen sisäänkirjautumispyytö, mikä aiheuttaa muistin ylikirjoittautumisen kohdepalvelimessa. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi mahdollisesti suorittaa omia komentoja kohdetietojärjestelmässä.

Puskuriylivuotohaavoittuvuus SQL Server 7.0 ja 2000 –ohjelmistojen eräässä DBCC (Database Console Commands) –komennossa. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa omia komentoja kohdetietojärjestelmässä ja ottaa kohdejärjestelmän tietokannat haltuunsa.

Haavoittuvuus SQL Server 7.0 ja 2000 –ohjelmistojen SQL Server Agent:n käyttäjänoikeutuksessa. Käyttäjä voi ylittää käyttöoikeutensa antamalla tiettyjä tehtäviä SQL Server Agent:lle; Käyttöoikeudet ylitetään, kun nämä tehtävät suoritetaankin SQL Server Agent:n käyttöoikeuksilla. Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi esimerkiksi ylikirjoittaa kohdejärjestelmän systeemitiedostoja.

Haavoittuvuuksien Microsoft-vakavuusluokitus on Critical.