Actu
Vigil@nce - SAP Sybase Adaptive Server Enterprise : obtention d’information via XMLParse
novembre 2013 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant peut utiliser une requête SQL utilisant XMLParse() de
SAP Sybase Adaptive Server Enterprise, afin d’obtenir des
informations sensibles.
Produits concernés : ASE
Gravité : 2/4
Date création : 18/10/2013
DESCRIPTION DE LA VULNÉRABILITÉ
La procédure XMLParse() analyse du contenu XML. Elle peut être
appelée depuis une requête SQL.
Cependant, XMLParse() accepte d’inclure des entités XML
correspondant à un fichier :
Ce fichier est alors lu par Sybase ASE, puis inclus dans la
réponse retournée à l’utilisateur.
Un attaquant peut donc utiliser une requête SQL utilisant
XMLParse() de SAP Sybase Adaptive Server Enterprise, afin
d’obtenir des informations sensibles.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
