BugTraq #7

Xakep, номер #043, стр. 043-008-2

Совсем забылось сказать: в последнем, шестом по счету, Service Pack'e Jet'a 4.0 дырка уже запаяна. Экзотическим пользователям Jet'a слив обновления жизненно важен!

Переполнение буфера функции pwdencrypt() MS SQL Server'a 2000

BT id 5014

Класс - ошибка пересечения смежных условий

Тип эксплойтинга - локальный

Дата - 14.06.02

Уязвимый продукт - MS SQL Server 2000 (SP 1-2)

Автор - Martin Rakhmanoff jimmers@yandex.ru

Когда-то в школе, в перерыве между распитием Балтики-номер-три на переменках, курением "Явы Золотой" у зарешеченного окошка в уборной и поеданием эклеров из школьной столовой, нас учили по литературе ссылаться по всем вопросам на критика Белинского. Чуть-чуть позже, а именно за последний месяц, все постинги по MS-SQL проблемам с безопасностью отсылают к истокам - расследованию за номером BT-4847. Уже дважды воспетое сообщение от NGSS обрастает новыми подробностями. Вот и наш соотечественник, петербуржец Мартын Рахманов, не постеснялся да и поведал, как влить добрую кружку Эсмарха в дырку SQL сервера 2000, пользуясь функцией pwdencrypt().

Проблемы перетекают в локальный D.o.S системы или даже выполнение условного кода на правах Системы. Предлагаемый код приведет к крушению SQL-сервера:

SELECT pwdencrypt (REPLICATE ( 'A', 353)). Иногда в некоторых системах придется использовать больший объем подаваемых знаков (1000 в любом случае хватит с головой). Эксплойта не требуется, нужен лишь локальный доступ с возможностью обращения к описанной pwdencrypt()-функции.

Автор уверяет, что Micros была извещена, и, возможно, в скором времени объявится официальная затычка для дыры. Автор очень краток в оригинальном постинге для BT. Та краткость вряд ли приходится близкой родственницей таланту: Мартын, поверьте - не только прожорливые дамы любят, чтобы был "большой", но и читатели Багтрек'а предпочитают "большой", объемный постинг по интересующей их проблеме. Упоминание модного словечка "Cheers" (аплодисменты, значится) вовсе не замена полноценному форменному расследованию проблемы.

Переполнение буфера в SQLXML от MS SQL Server'a

BT id 5004

Класс - ошибка пересечения смежных условий

Тип эксплойтинга - удаленный

Дата - 12.06.02

Уязвимый продукт - MS SQL Server 2000 (SP1-2)

Автор - Matt Moore <matt@westpoint.ltd.uk>

SQLXML позволяет осуществлять обработку запросов к SQL Server'у с ответами формата XML. Дозволяются также два бага: переполнение буфера в SQLXML ISAPI фильтре плюс CSS-уязвимость (cross site scripting).

Рассмотрим типичный запрос к SQLXML: IIS-server/Northwind?sql=SELECT+contactname,+phone+FROM+Customers+FOR+XML. Получаем типичный ответ. Скучно как-то, не правда ли? Добавим красок: с появлением дополнительного параметра "root" в запросе ответ также пополнится root-ярлыком. Данная особенность может быть/будет использована в CSS-эксплойтинге: