Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

漏洞信息详情

Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

CNNVD编号：CNNVD-200209-003
危害等级：高危-->
危害等级：高危
CVE编号： CVE-2002-0859
漏洞类型：边界条件错误
发布时间： 2002-06-19
威胁类型：远程
更新时间： 2006-09-01
厂商： microsoft
漏洞来源： David Litchfield※ ...

漏洞简介

Microsoft SQL Server是一款由Microsoft公司开发的商业性质大型数据库系统。 Microsoft SQL Server当和MS JET引擎组合使用时OpenDataSource函数存在漏洞，远程攻击者可以利用这个漏洞进行缓冲区溢出攻击。通过提交特殊构建的使用OpenDataSource函数的SQL查询可使SQL服务进程产生缓冲区溢出，同时溢出属于UNICODE性质，精心构建数据可容易的以SQL服务进程的权限在系统上执行任意指令。攻击者可以通过WEB应用程序使用SQL指令插入进行攻击，所以没有与Internet连接的SQL服务程序就不表示一定安全。由于问题存在于MS JET引擎组件，所以其他依靠此引擎组件的产品也应该存在此漏洞。

漏洞公告

临时解决方法：如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 使用防火墙，对Microsoft SQL Server进行访问控制，只允许可信用户访问。厂商补丁： Microsoft --------- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Microsoft Upgrade Q282010

http://www.microsoft.com/windows2000/downloads/recommended/q282010/default.asp?FinishURL=%2Fdownloads%2Frelease%2Easp%3FReleaseID%3D38002%26area%3Dsearch%26ordinal%3D2%26redirect%3Dno

Microsoft Jet 4.0 Service Pack 6 (Windows 2000). 需要Microsoft Jet 4.0 Service Pack 5.

参考网址

来源: BUGTRAQ 名称: 20020619 Microsoft SQL Server 2000 OpenDataSource Buffer Overflow (#NISR19062002) 链接:http://marc.theaimsgroup.com/?l=bugtraq&m=102450188620081&w=2 来源: www.nextgenss.com 链接:http://www.nextgenss.com/advisories/mssql-ods.txt 来源: MSKB 名称: Q282010 链接:http://support.microsoft.com/default.aspx?scid=kb;%5BLN%5D;Q282010 来源: BID 名称: 5057 链接:http://www.securityfocus.com/bid/5057 来源: XF 名称: mssql-jet-ods-bo(9375) 链接:http://www.iss.net/security_center/static/9375.php

受影响实体

Microsoft Sql_server:2000:Sp2
Microsoft Jet:4.0:Sp5
Microsoft Sql_server:2000
Microsoft Jet:4.0
Microsoft Sql_server:2000:Sp1

补丁

暂无

正文

Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

漏洞信息详情