Vulnerabilidades SQL Server

Tenemos dos noticias de seguridad publicadas en el boletín de noticias de Hispasec. Las dos relacionadas con la misma base de datos de Microsoft: SQL Server.

Nuevo parche para SQL Server

Microsoft publica un parche acumulativo para SQL Server 2000 que incluye las funcionalidades de todos los parches publicados hasta la fecha.

Además este parche elimina tres nuevas vulnerabilidades que afectan a SQL Server 2000 y MSDE 2000.

Una vulnerabilidad de desbordamiento de búfer en el procedimiento empleado para cifrar la información de las contraseñas del servidor SQL. Un atacante que consiga explotar esta vulnerabilidad de forma exitosa podrá conseguir control sobre la base de datos e incluso sobre el servidor.

Un desbordamiento de búfer en el procedimiento empleado para insertar datos masivos ("bulk data") en tablas de SQL. Un atacante que consiga explotar esta vulnerabilidad de forma exitosa podrá conseguir control sobre la base de datos e incluso sobre el servidor.

Una vulnerabilidad de elevación de privilegios resultante de la asignación incorrecta de permisos en la llave del registro que almacena la información de las cuentas del servidor SQL. Un atacante que consiga explotar esta vulnerabilidad podrá conseguir mayores privilegios en el sistema.

Este parche puede descargarse desde
http://support.microsoft.com/support/misc/kblookup.asp?id=Q316333

Más información:

Boletín de seguridad Microsoft MS02-034:
Cumulative Patch for SQL Server
http://www.microsoft.com/technet/security/bulletin/MS02-034.asp

La instalación de SQL Server deja las contraseñas en el sistema

Al realizar la instalación de Microsoft SQL Server 7.0 o 2000 se crea un archivo de texto en el que se incluye la contraseña de administración del servidor de base de datos. Al finalizar la instalación el archivo con la información sensible permanece en el sistema, al acceso de cualquier usuario.

Cuando se realiza la instalación de SQL Server 7.0 (incluido MSDE 1.0), SQL Server 2000, o uno de los Service Pack para SQL Server 7.0 o SQL Server 2000, la información proporcionada para el proceso de instalación es recogida y almacenada en un archivo de configuración llamado setup.iss.

El archivo setup.iss puede ser empleado entonces para automatizar el proceso de instalación en otros sistemas SQL Server. SQL Server 2000 también incluye la posibilidad de grabar una instalación desatendida en el archivo setup.iss. El administrador podrá introducir la contraseña a la rutina de instalación bajo las siguientes condiciones:

Si el servidor SQL Server está configurado en "Mixed Mode", se introducirá la contraseña para la cuenta de administrador (cuenta "sa"). Cuando en "Mixed Mode" o en "Windows Authentication Mode", se puede introducir de forma opcional un nombre de usuario y contraseña con el propósito de iniciar las cuentas del servicio SQL Server.

En cualquier caso, la password se almacenará en el archivo setup.iss.

Antes de SQL Server 7.0 Service Pack 4, las contraseñas se almacenaban en texto claro. Para SQL Server 7.0 Service Pack 4 y SQL Server 2000 Service Packs 1 y 2, las passwords eran cifradas y almacenadas. De forma adicional, durante el proceso de instalación se crea un archivo de log que también incluirá cualquier password almacenada en setup.iss.

El problema reside en que el archivo permanece en el sistema una vez completado el proceso de instalación. Excepto en SQL Server 2000 setup.iss quedará al alcance de cualquiera que pueda acceder al sistema.

Microsoft publica un parche para Microsoft SQL 7, MSDE 1.0 y Microsoft SQL Server 2000, disponible en: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=40205

Más información:

Boletín de seguridad Microsoft MS02-035
SQL Server Installation Process May Leave Passwords on System
http://www.microsoft.com/technet/security/bulletin/MS02-035.asp