如何利用SAP ASE安全漏洞入侵数据库服务器

如何利用SAP ASE安全漏洞入侵数据库服务器

SAP公司的Sybase数据库软件中存在一系列新的严重漏洞,没有权限的攻击者可利用这些漏洞完全控制目标数据库,在某些场景中,甚至可完全控制底层操作系统。

网络安全公司Trustware发现的这六个安全漏洞存在于Sybase Adaptive Server Enterprise(ASE)中,Sybase ASE是一款面向基于交易的应用程序的关系数据库管理软件。

该网络安全公司表示,这些漏洞具体影响操作系统和整个平台,是在对该产品的一次安全测试过程中发现的。

CVE-2020-6248是其中最严重的漏洞,CVSS评分为9.1,攻击者可利用该漏洞在数据库备份时执行恶意命令。

Trustware公司的研究人员在报告中指出,“在数据库备份操作过程中,对覆盖关键配置文件没有安全检查,这意味着任何人只要可以运行DUMP命令(例如数据库所有者)就可以执行非常危险的任务。”

第二个漏洞(CVE-2020-6252)影响ASE Cockpit,一个用于监控ASE服务器状态和可用性的,基于web的管理控制台。该漏洞仅影响ASE 16 Windows版,本地攻击者可利用该漏洞获取用户账户凭据,覆盖操作系统文件,甚至以LocalSystem权限执行恶意代码。

其他两个漏洞(CVE-2020-6241和CVE-2020-6253)允许经身份认证的攻击者通过SQL注入执行特制的数据库查询语句,以提升权限,不具有特殊权限的用户可借此获取数据库管理员访问权限。

在对CVE-2020-6253的利用场景中,攻击者可以先控制一个ASE数据库dump文件,在将该文件加载到目标ASE服务器之前,用恶意数据修改该文件。

在执行某个存储过程(“dummy_esp”)时,当服务器未能对某个经身份认证的用户执行必要的检查时,就会出现第五个漏洞(CVE-2020-6243)。该漏洞允许Windows用户在ASE服务器上运行任意代码和删除数据。

最后,CVE-2020-6250是一个信息泄露漏洞,影响ASE Linux/UNIX版,经身份认证的攻击者可利用该漏洞从安装日志中读取系统管理员密码。

研究人员指出,“这些日志只有SAP账户可读,但是结合利用其他漏洞,攻击者就可获取文件系统的访问权限,完全入侵SAP ASE。”

在Trustwave公司负责任地披露对Sybase的发现后,SAP公司上个月推送了一个补丁,修复了这些安全漏洞。

Trustwave公司表示,“组织经常将最关键的数据存储在数据库中,反过来,数据库经常暴露在不受信任的环境中或被公开暴露。”

“所以快速修复和测试这些漏洞至关重要,因为它们不仅威胁数据库中的数据,而且可能威胁运行数据库的整个主机。”

ASE的最新版本已修复了这些安全漏洞,建议用户尽快升级到该版本。

感谢大家的阅读,以上就是“如何利用SAP ASE安全漏洞入侵数据库服务器”的全部内容了,学会的朋友赶紧操作起来吧。相信亿速云小编一定会给大家带来更优质的文章。谢谢大家对亿速云网站的支持!

文章标题:如何利用SAP ASE安全漏洞入侵数据库服务器,发布者:亿速云,转载请注明出处:https://worktile.com/kb/p/26095

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
亿速云的头像亿速云
上一篇 2022年9月16日 下午10:29
下一篇 2022年9月16日 下午10:30

相关推荐

  • 猫鼠服务器是什么公司

    猫鼠(Cats and Mouse)服务器可能是您要询问的一种服务器类型,或者是一个特定服务器名称的误解,但在知识库中并无明确的记录表示猫鼠服务器代表着一个具体的公司。如果您是在询问一个公司或品牌名为“猫鼠”的服务器供应商,可能需要提供更多信息或者具体的上下文才能得出准确答案。如果您实际上指的是一个…

    2024年4月25日
    7900
  • 推理服务器作用是什么

    摘要 推理服务器的作用是1、执行模型推理任务、2、优化推理性能、3、降低延迟、4、提高吞吐量、5、支持多种模型格式、6、提供模型管理与扩展功能。 在这些核心功能中,优化推理性能尤为关键,因为它直接关系到模型部署后的效率和稳定性。推理服务器通过使用专门的算法和硬件加速技术,大幅提高处理速度,同时保持高…

    2024年4月25日
    9700
  • 服务器管理的好处是什么

    摘要 服务器管理的好处包括: 1.提高安全性、2.增强性能、3.确保数据完整性、4.优化资源利用,等重要方面。特别是提高安全性,这是服务器管理中的关键部分,为防止未授权访问、数据泄露和其他潜在威胁,定期对服务器进行维护和更新至关重要。此外,安装安全软件、监控系统漏洞、及时打补丁和执行严格的访问控制策…

    2024年4月25日
    8400
  • 云服务器存储资料是什么

    摘要 云服务器存储资料是1、通过网络访问的远程服务器上存储的数据,其依赖于2、云计算技术,使得数据存取更加灵活和高效。在这两点中,通过网络访问的远程服务器存储意味着用户无需对物理硬件进行管理或投入高额的初期成本,而是通过互联网连接到远程数据中心,实现数据存储和管理。这种模式不仅降低了企业或个人的技术…

    2024年4月25日
    8500
  • 下挂的服务器叫什么

    摘要:下挂的服务器通常被称作1、边缘服务器或2、即服务外设。其中,边缘服务器主要用于提高网络服务的访问速度和提升用户体验。通过布局在接近最终用户的地理位置上,这种服务器能够缓存内容,减少数据传输的延迟,加快载入速度,有效缓解主服务器的负荷。边缘服务器尤其适用于内容交付网络(CDN)和大数据分析等场景…

    2024年4月25日
    9900
注册PingCode 在线客服
站长微信
站长微信
电话联系

400-800-1024

工作日9:30-21:00在线

分享本页
返回顶部