Security Lab

Удаленное переполнение буфера в IBM DB2 в обработке LOAD и INVOKE команд

Дата публикации:02.10.2003
Всего просмотров:1411
Опасность:
Высокая
Наличие исправления:
Количество уязвимостей:1
CVE ID: Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID: Нет данных
Наличие эксплоита: Нет данных
Уязвимые продукты:
Уязвимые версии: IBM DB2 7.2, 8.1

Описание: Несколько переполнений буфера обнаружены в базе данных IBM DB2 в обработке LOAD и INVOKE команд. Удаленный авторизованный пользователь с некоторыми привилегиями может выполнить произвольный код на системе.

1. Переполнение стекового буфера обнаружено в команде 'LOAD' (CVE: CAN-2003-0836). Удаленный авторизованный пользователь с "Connect" привилегиями может послать специально сформированную команду LOAD, чтобы выполнить произвольный код на целевой системе с привилегиями администратора на Windows системах и с привилегиями 'db2as' или 'db2inst1' на Linux системах.

2. Переполнение буфера обнаружено в команде 'INVOKE'. Удаленный авторизованный пользователь с "Connect" привилегиями может послать специально сформированную команду INVOKE, чтобы выполнить произвольный код на целевой системе. Код будет выполнен с привилегиями администратора. Уязвима только Windows версия базы данных.

URL производителя: http://www.ibm.com/software/data/db2/udb

Решение: Исправление можно скачать отсюда: http://www-3.ibm.com/cgi-bin/db2www/data/db2/udb/winos2unix/support/download.d2w/report

Ссылки: IBM DB2 LOAD Command Stack Overflow Vulnerability