unsichere stored procedures in MSSQL Server

[GeHe]

Hallo,

durch einen Pentest auf unserem Applikationsserver wurden wir darauf hingewiesen, dass im lokalen MSSQL-Server (den wir nur für NoSpamProxy nutzen) zwei potentiell unsichere stored procedures aktiviert sind:
- xp_dirtree
- xp_fileexist

Frage: werden diese von irgend einer Komponente von NoSpamProxy verwendet oder können wir diese deaktivieren?

Danke und Gruß
Georg

 

[JanJäschke]

Hallo Georg,

diese stored procedures stammen nicht von uns.
Auf den ersten Blick per Google klingt das nach SQL 2008
Aus unserer Sicht können diese also deaktiviert werden.

p.s.: Sonst gab es keine Probleme beim Pentest mit NSP?

Beste Grüße
Jan

 

[GeHe]

Hallo Jan,
danke für die Info, dann deaktivieren wir das Teufelszeugs.
Wir haben noch keinen Detailbericht, wenn da was rauskommt werden wir euch sicher auf einem weniger öffentlichen Weg kontaktieren
Wenn nicht, dann auch

LG
Georg

 

[869288141]

Moin,
interessant ist doch erst einmal, um welche Art von Pentest es sich handelt:

• NSP als Anwendung oder auch alle damit verbundenen Komponenten?
• Ausschließlich der Weg über das Internet oder auch aus dem LAN?
• Wurde evtl. sogar ein RED Team los geschickt und NSP war "nur" ein Einstiegspunkt? Stichwort NTLM Relaying...

Fragen über Fragen... Details wären daher interessant und zielführend.

zwei potentiell unsichere stored procedures aktiviert sind

Soweit ich das noch im Kopf habe, sind diese SPs seitens Microsoft nie wirklich dokumentiert worden. Unabhängig davon meine ich, dass diese Teil der master DB sind. Hat also direkt mit NSP eigentlich nichts zu tun. Und der dedizierte Nutzer für NSP, welcher nur die notwendigen Rechte hat, dürfte an die SPs somit gar nicht ran kommen. Oder bin ich auf dem Holzweg?

p.s.: Sonst gab es keine Probleme beim Pentest mit NSP?

Ich gehe davon aus, dass ihr eurer Software regelmäßig einen Pentest unterziehen lasst. Oder aber entsprechende Experten als Kollegen habt. Alles andere würde mich heutzutage wundern.

Auf den ersten Blick per Google klingt das nach SQL 2008

Gibt es meines Wissens nach auch noch bei SQL 2019...


Gruß,
Daniel