CVE-2020-0618: 微软 SQL Server Reporting Services远程代码执行漏洞通告
2020-02-16 16:36

报告编号：B6-2020-021601

报告来源：360-CERT

报告作者：360-CERT

更新日期：2020-02-16

0x00 漏洞背景

2020年02月16日， 360CERT对微软 2 月份安全更新中的 CVE-2020-0618 SQL Server Reporting Services 远程命令执行漏洞进行资产测绘时发现，SQL Server 在国内使用量大，存在危害面。

！！相关分析与PoC已在互联网公开

Microsoft SQL Server(微软结构化查询语言服务器)是由微软公司所推出的关系型数据库解决方案。

SQL Server Reporting Services 是依托于 SQL Server的一个附属组件。其作用是利用 SQL Server 中的数据，便捷的生成用户友好的图表。该服务默认是内部服务，默认开放在 localhost 的 80 端口。

该漏洞需要经过身份验证后，攻击者向 SQL Server 的报告服务(Reporting Services) 发送特制请求进行触发。攻击成功可获得SQL Server服务的对应控制权限。

0x01 风险等级

360CERT对该漏洞进行评定

评定方式 等级
威胁等级 高危
影响面 广泛

360CERT建议广大用户及时更新 SQL Server 以及 SQL Server Reporting Services软件版本。做好资产 自查/自检/预防 工作，以免遭受攻击。

0x02 漏洞证明

在攻击成功后成功获得相应控制权限

0x03 影响版本

产品 版本 修复补丁编号
SQL Server 2016 Service Pack 2(GDR) 13.0.5026.0 - 13.0.5101.9 KB4505220
SQL Server 2016 Service Pack 2 CU11 13.0.5149.0 - 13.0.5598.27 KB4527378
SQL Server 2014 Service Pack 3 (GDR) 12.0.6024.0 - 12.0.6108.1 KB4505218
Server 2014 Service Pack 2 CU4 12.0.6205.1 - 12.0.6329.1 KB4500181
SQL Server 2012 Service Pack 4 (QFE) 111.0.7001.0 - 11.0.7462.6 KB4057116

p.s. 如果您的SQL Server版本号未在上表中显示，您的SQL Server版本将不再受到微软官方支持。同样有遭受该漏洞影响的风险。请升级到最新的SQL Server，以免遭受漏洞攻击。

0x04 修复建议

遵从下方微软官方漏洞修复指引进行漏洞修复

CVE-2020-0618 | Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability

0x05 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现微软 SQL Server 在国内存在大范围的使用情况。具体分布如下图所示。

0x06 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人获取对应产品。

360AISA全流量威胁分析系统

360AISA基于360海量安全大数据和实战经验训练的模型，进行全流量威胁检测，实现实时精准攻击告警，还原攻击链。

目前产品具备该漏洞/攻击的实时检测能力。

0x07 时间线

2020-02-11 微软官方发布漏洞通告

2020-02-16 360-CERT再次发布漏洞通告

0x08 参考链接

  1. CVE-2020-0618 | Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability
  2. 如何确定 SQL Server 及其组件的版本、版本类别和更新级别
  3. 补丁⽇: 微软多个产品⾼危漏洞安全⻛险通告 - 360CERT