SA07-001 - Injicering av SQL-kommandon i Interbook

SITIC sårbarhetskungörelse

Beteckning: Injicering av SQL-kommandon i Interbook
Kungörelsereferens: SA07-001
Datum för första utgåva: 2007-03-05
Produkt: Interbook
Plattform: Windows
Verkan: Fjärran kodexekvering
Sårbarhetsidentifierare: -

Sammanfattning:
Argentums bokningssystem Interbook, har inte kontrollerat all indata till underliggande databasfrågor. Detta skulle kunnna leda till att SQL-kommandon kan exekveras på databasen.

Detaljer:
Genom att manipulera parametrar som används som indata till databasfrågor, skulle en angripare kunna utnyttja denna säkerhetsbrist för att exekvera godtyckliga SQL-kommandon på ett sårbart system. Detta kan innebära att systemet tas över av angriparen.

Förmildrande faktorer:
Om någon programvara som filtrerar bort specialtecken innan de hanteras av webbservern finns installerad, kommer denna attack troligtvis inte att fungera.

Påverkade versioner:
Alla versioner innan version 2006 Service-Pack 2 patch A1.

Rekommendationer:
Argentum har presenterat en programrättning som bör installeras omedelbart.

Programrättning:
Det har utgått ett e-postmeddelande till alla Argentums kunder som använder Interbook med information om hur säkerhetsuppdatering kan laddas ned. Kontakta Argentums supportorganisation, booking@argentum.se för mer information.

Erkännande:
Dessa sårbarheter har identifieras av Jon Jezierski och Daniel Minnelid från Defensor.

Kontaktinformation:
Sveriges IT-incidentcentrum, SITIC
Box 5398, 102 49 Stockholm
Telefon: 08 678 5799
E-post: sitic snabel-a pts punkt se
http://www.sitic.se

Revisionshistorik:
Första utgåva 2007-03-05

Om Sitic:
Sitics uppgift är att stödja samhället i arbetet med skydd mot IT-incidenter. Sitic ska främja informationsutbytet om IT-incidenter mellan samhällets organisationer och ska sprida information om nya problem som kan störa IT-system. Sitic lämnar också information och råd om förebyggande åtgärder samt sammanställer och ger ut statistik.

Villkor:
Beslutet att agera på grundval av information eller råd i denna sårbarhetskungörelse är den enskilda användarens eller organisationens eget ansvar. Sitic tar inte på sig något ansvar för eventuella fel eller brister i denna sårbarhetskungörelse, inte heller för konsekvenser som kan följa på åtgärder grundade på information eller råd i kungörelsen.