SAP ASE数据库软件出现任意程式码执行、资料外泄等漏洞

安全厂商Trustwave昨日（6/3）揭露Adaptive Server Enterprise (ASE)关联式数据库内，有7项中到高风险等级的漏洞，最严重者可造成任意程式码执行及数据库可被公开存取。

ASE关联式数据库是来自SAP收购的Sybase ASE产品。过去这项产品广受金融业采用。SAP也宣称全球25大银行中，有24家以Sybase ASE来跑关键应用。但是自2010年SAP收购以来，ASE已甚少释出修补程式。

SAP本周公告的7项安全漏洞中，有6项为Trustwave发现。其中最严重的是CVE-2020-6248，它是备份数据库程式码注入漏洞，出在备份作业覆写重要组态档时未做安全检查，导致任何能执行DUMP指令者（如数据库管理员），可以简单指令取代原有的备份服务器组态档，再以DUMP指令驱动攻击程式码执行，如果SAP ASE跑在Windows平台上，程式档即可预设以本机权限执行。

CVE-2020-6252出在ASE中Cockpit元件使用的小型数据库SQL Anywhere，它是以本机权限执行，但登入这个数据库的密码却存在Windows一个可公开读取的组态档中，使任何Windows用户可以取得密码登入SQL Anywhere数据库，再覆写OS档案，以执行恶意程式码。CVE-2020-6248和CVE-2020-6252的CVSS 3.0风险评分，分别为9.1及9.0，属于重大漏洞。

ASE另外存在CVE-2020-6241、CVE-2020-6243漏洞，前者为发生在ASE全域暂存表格（Global temporary tables）处理DDL宣称不当，透过传送SQL指令，造成数据库合法用户升级到管理员权限，后者则出在ASE中的XP Server元件使恶意程式码以管理员权限执行。CVSS 3.0风险评分各为8.8及8.0。

另外，研究人员还发现ASE一个处理Web Services不当的漏洞（CVE-2020-6253），让合法用户透过SQL注入升级权限，以及ASE build log包含明码密码的漏洞（CVE-2020-6250），两个漏洞风险评分各为7.2和6.8。

上述漏洞全部影响SAP Sybase ASE 16.0版本，但有些也扩及更早的ASE 15.7或15.8版。除了这些漏洞，SAP另外也修补了发生在Business Objects BI Platform、NetWeaver Application Server ABAP、Identity Server、Enterprise Threat Detection、Master Data Governance等元件的漏洞。