漏洞信息详情

Microsoft SQL MS Jet引擎OpenDataSource远程缓冲区溢出漏洞

• CNNVD编号：CNNVD-200209-003
• 危害等级： 高危
  
• CVE编号： CVE-2002-0859
• 漏洞类型： 边界条件错误
• 发布时间： 2002-06-19
• 威胁类型： 远程
• 更新时间： 2006-09-01
• 厂        商： microsoft
• 漏洞来源： David Litchfield※ ...

漏洞简介

Microsoft SQL Server是一款由Microsoft公司开发的商业性质大型数据库系统。 Microsoft SQL Server当和MS JET引擎组合使用时OpenDataSource函数存在漏洞，远程攻击者可以利用这个漏洞进行缓冲区溢出攻击。 通过提交特殊构建的使用OpenDataSource函数的SQL查询可使SQL服务进程产生缓冲区溢出，同时溢出属于UNICODE性质，精心构建数据可容易的以SQL服务进程的权限在系统上执行任意指令。 攻击者可以通过WEB应用程序使用SQL指令插入进行攻击，所以没有与Internet连接的SQL服务程序就不表示一定安全。 由于问题存在于MS JET引擎组件，所以其他依靠此引擎组件的产品也应该存在此漏洞。

漏洞公告

临时解决方法： 如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 使用防火墙，对Microsoft SQL Server进行访问控制，只允许可信用户访问。 厂商补丁： Microsoft --------- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Microsoft Upgrade Q282010

http://www.microsoft.com/windows2000/downloads/recommended/q282010/default.asp?FinishURL=%2Fdownloads%2Frelease%2Easp%3FReleaseID%3D38002%26area%3Dsearch%26ordinal%3D2%26redirect%3Dno

Microsoft Jet 4.0 Service Pack 6 (Windows 2000). 需要Microsoft Jet 4.0 Service Pack 5.

参考网址

来源: BUGTRAQ 名称: 20020619 Microsoft SQL Server 2000 OpenDataSource Buffer Overflow (#NISR19062002) 链接:http://marc.theaimsgroup.com/?l=bugtraq&m=102450188620081&w=2 来源: www.nextgenss.com 链接:http://www.nextgenss.com/advisories/mssql-ods.txt 来源: MSKB 名称: Q282010 链接:http://support.microsoft.com/default.aspx?scid=kb;%5BLN%5D;Q282010 来源: BID 名称: 5057 链接:http://www.securityfocus.com/bid/5057 来源: XF 名称: mssql-jet-ods-bo(9375) 链接:http://www.iss.net/security_center/static/9375.php

受影响实体

• Microsoft Sql_server:2000:Sp2  
• Microsoft Jet:4.0:Sp5  
• Microsoft Sql_server:2000  
• Microsoft Jet:4.0  
• Microsoft Sql_server:2000:Sp1  

补丁

暂无