Microsoft SQL Server Webtasks权限提升漏洞（MS02-061）（CNVD-2002-3869）

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2002-10-17

漏洞描述

Microsoft SQL Server是微软公司开发和维护的大型数据库系统。Microsoft SQL Server的webtask功能存在权限设置问题，远程攻击者可以利用这个漏洞提升权限。当以SQL Server权限执行和运行时，xp_runwebtask存储过程设置权限不正确，xp_runwebtask可以以'PUBLIC'权限执行。存储webtasks的表权限命名为msdb.dbo.mswebtasks，其权限设置过于宽松，可以允许'PUBLIC'权限进行INSERT、UPDATE、DELETE和SELECT操作。能够通过SQL SERVER认证的攻击者可以删除、插入或者更新由其他用户建立的WEB任务，另外攻击者可以运行已经建立的WEB任务，利用各种操作可能以SQL Server Agent service帐户权限执行任意OS命令或者提升权限为SYSADMIN组用户。

解决建议

Microsoft---------Microsoft已经为此发布了一个安全公告（MS02-061）以及相应补丁:MS02-061：Elevation of Privilege in SQL Server Web Tasks (Q316333链接：http://www.microsoft.com/technet/security/bulletin/MS02-061.asp补丁下载：* Microsoft SQL Server 7.0:http://support.microsoft.com/default.aspx?scid=kb;en-us;Q327068&sd=tech* Microsoft SQL Server 2000:http://support.microsoft.com/default.aspx?scid=kb;en-us;Q316333&sd=tech

参考链接
https://www.cnvd.org.cn/flaw/show/CNVD-2002-3869

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A CWE-ID 漏洞类型