Microsoft BizTalk Server DTA接口SQL注入漏洞(MS03-016)

漏洞信息详情

Microsoft BizTalk Server DTA接口SQL注入漏洞(MS03-016)

• CNNVD编号：CNNVD-200305-024
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2003-0118
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2003-04-30
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-10-20
  
• 厂        商：
  
  microsoft
• 漏洞来源：
  Cesar Cerrudo※ ces…

Microsoft BizTalk Server是一款允许企业集成应用程序，交易伙伴，商务处理的企业综合性产品。BizTalk用于内部网环境在不同后台传输商务文档，并在外部网中可以与交易伙伴交换结构性消息。
Microsoft BizTalk Server的DTA接口对用户提交的数据缺少充分过滤，远程攻击者可以利用这个漏洞注入畸形SQL命令，修改原SQL逻辑，导致信息泄露或数据库破坏。
BizTalk Server提供通过文档跟踪和管理WEB接口来管理文档的功能，由于部分管理页对用户提交的参数缺少充分过滤，攻击者发送特殊构建的URL查询字符串给部分页面，可导致修改原来的SQL逻辑，使系统执行嵌入的恶意SQL命令，导致信息泄露或数据库破坏。

厂商补丁：
Microsoft
———
Microsoft已经为此发布了一个安全公告(MS03-016)以及相应补丁:

MS03-016：Cumulative Patch for BizTalk Server (815206)

链接：http://www.microsoft.com/technet/security/bulletin/MS03-016.asp” target=”_blank”>
http://www.microsoft.com/technet/security/bulletin/MS03-016.asp

补丁下载：

+ Microsoft BizTalk Server 2000:

http://microsoft.com/downloads/details.aspx?FamilyId=001E93E4-0E6E-4289-AEFE-9161D2E5AF97&displaylang=en” target=”_blank”>
http://microsoft.com/downloads/details.aspx?FamilyId=001E93E4-0E6E-4289-AEFE-9161D2E5AF97&displaylang=en

+ Microsoft BizTalk Server 2002:

http://microsoft.com/downloads/details.aspx?FamilyId=A05344FE-2622-4887-AA45-3DE7C4ED3C75&displaylang=en” target=”_blank”>
http://microsoft.com/downloads/details.aspx?FamilyId=A05344FE-2622-4887-AA45-3DE7C4ED3C75&displaylang=en

来源: MS
名称: MS03-016
链接:http://www.microsoft.com/technet/security/bulletin/ms03-016.asp

来源: BUGTRAQ
名称: 20030505 Microsoft Biztalk Server DTA vulnerable to SQL injection
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=105216839231951&w=2