Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

漏洞信息详情

Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

• CNNVD编号：CNNVD-200209-003
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2002-0859
  
• 漏洞类型：
  
  
  边界条件错误
  
• 发布时间：
  
  2002-06-19
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-09-01
  
• 厂        商：
  
  microsoft
• 漏洞来源：
  David Litchfield※ …

Microsoft SQL Server是一款由Microsoft公司开发的商业性质大型数据库系统。
Microsoft SQL Server当和MS JET引擎组合使用时OpenDataSource函数存在漏洞，远程攻击者可以利用这个漏洞进行缓冲区溢出攻击。
通过提交特殊构建的使用OpenDataSource函数的SQL查询可使SQL服务进程产生缓冲区溢出，同时溢出属于UNICODE性质，精心构建数据可容易的以SQL服务进程的权限在系统上执行任意指令。
攻击者可以通过WEB应用程序使用SQL指令插入进行攻击，所以没有与Internet连接的SQL服务程序就不表示一定安全。
由于问题存在于MS JET引擎组件，所以其他依靠此引擎组件的产品也应该存在此漏洞。

临时解决方法：
如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 使用防火墙，对Microsoft SQL Server进行访问控制，只允许可信用户访问。
厂商补丁：
Microsoft
———
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Microsoft Upgrade Q282010

http://www.microsoft.com/windows2000/downloads/recommended/q282010/default.asp?FinishURL=%2Fdownloads%2Frelease%2Easp%3FReleaseID%3D38002%26area%3Dsearch%26ordinal%3D2%26redirect%3Dno” target=”_blank”>
http://www.microsoft.com/windows2000/downloads/recommended/q282010/default.asp?FinishURL=%2Fdownloads%2Frelease%2Easp%3FReleaseID%3D38002%26area%3Dsearch%26ordinal%3D2%26redirect%3Dno

Microsoft Jet 4.0 Service Pack 6 (Windows 2000). 需要Microsoft Jet 4.0 Service Pack 5.

来源: BUGTRAQ
名称: 20020619 Microsoft SQL Server 2000 OpenDataSource Buffer Overflow (#NISR19062002)
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=102450188620081&w=2

来源: www.nextgenss.com
链接:http://www.nextgenss.com/advisories/mssql-ods.txt

来源: MSKB
名称: Q282010
链接:http://support.microsoft.com/default.aspx?scid=kb;%5BLN%5D;Q282010

来源: BID
名称: 5057
链接:http://www.securityfocus.com/bid/5057

来源: XF
名称: mssql-jet-ods-bo(9375)
链接:http://www.iss.net/security_center/static/9375.php