{"data":{"case":{"actions":{"de":["Installiere **SQL Server 2000 Service Pack 3**, das den Fix enthält, oder zumindest den Patch aus dem Microsoft-Bulletin **MS02-039** oder seinem Nachfolger MS02-061.","Such auch nach **MSDE 2000**: Es steckt auch in anderen Produkten, etwa in Visual Studio und der Office Developer Edition, und braucht denselben Fix.","Sperre **UDP-Port 1434** in deiner Firewall, damit der Resolution Service aus dem Internet nicht erreichbar ist."],"en":["Install **SQL Server 2000 Service Pack 3**, which contains the fix, or at least the patch from Microsoft bulletin **MS02-039** or its successor MS02-061.","Look for **MSDE 2000** as well: it also ships inside other products, such as Visual Studio and Office Developer Edition, and needs the same fix.","Block **UDP port 1434** at your firewall, so the Resolution Service cannot be reached from the internet."]},"criteria":{"damage":{"de":"Im Kernkraftwerk Davis-Besse war das Safety Parameter Display System 4 Stunden und 50 Minuten nicht verfügbar; Steuerung und Schutzfunktionen der Anlage waren nicht betroffen (US-NRC).","en":"At the Davis-Besse nuclear plant, the safety parameter display system was unavailable for 4 hours 50 minutes; plant control and protection were not affected (US NRC).","met":true},"exploitation":{"de":"Slammer war ein sich selbst verbreitender Wurm, der in 10 Minuten mehr als 90 % der verwundbaren Computer infizierte (Inside the Slammer Worm, 2003).","en":"Slammer was a self-spreading worm that infected more than 90 % of vulnerable computers within 10 minutes (Inside the Slammer Worm, 2003).","met":true},"reach":{"de":"Gezählt wurden mindestens 75.000 infizierte Computer; die tatsächliche Zahl kann höher liegen, doch keine Messung in den Quellen erreicht 100.000 (Inside the Slammer Worm, 2003).","en":"At least 75,000 infected computers were measured; the true number may be higher, but no measurement in the sources reaches 100,000 (Inside the Slammer Worm, 2003).","met":false},"response":{"de":"Der Patch von Microsoft war seit dem 24. Juli 2002 verfügbar; darüber hinaus belegen die Quellen nur, dass Netzwerke UDP-Port 1434 sperrten (Microsoft, Inside the Slammer Worm).","en":"Microsoft's patch had been out since July 24, 2002; beyond it, the sources document only networks blocking UDP port 1434 (Microsoft, Inside the Slammer Worm).","met":false}},"cves":["CVE-2002-0649"],"cvss":7.5,"cvss_version":"2.0","cwe":"CWE-119","dates":[{"date":"2002-07-24","key":"patched"},{"date":"2002-07-25","de":"Microsoft nimmt MSDE 2000 in sein Bulletin auf","en":"Microsoft adds MSDE 2000 to its bulletin"},{"date":"2003-01-25","key":"outbreak"},{"date":"2003-08-29","de":"Die US-Atomaufsicht NRC meldet den Wurm im Netzwerk des Kraftwerks Davis-Besse","en":"The US nuclear regulator NRC reports the worm in the network of the Davis-Besse plant"}],"de":{"credit":"NGSSoftware (Next Generation Security Software, Großbritannien)","fixed":"Microsoft-Patch MS02-039 (24. Juli 2002); enthalten im SQL Server 2000 Service Pack 3","product":"Datenbankserver Microsoft SQL Server 2000 und MSDE 2000","summary":"Ein nur 376 Byte großer Wurm verbreitete sich hundertmal schneller als Code Red und überflutete Netzwerke mit seinem Datenverkehr."},"disclosed":"2003-01-25","en":{"credit":"NGSSoftware (Next Generation Security Software, UK)","fixed":"Microsoft patch MS02-039 (July 24, 2002); part of SQL Server 2000 Service Pack 3","product":"Microsoft SQL Server 2000 and MSDE 2000 databases","summary":"A worm of just 376 bytes spread a hundred times faster than Code Red and flooded networks with its traffic."},"figures":[{"de":"bis mehr als 90 % der verwundbaren Server infiziert waren","en":"to infect more than 90 % of vulnerable servers","value":"10 min"},{"de":"fiel das Safety Parameter Display System im Kernkraftwerk Davis-Besse aus","en":"outage of the safety parameter display system at the Davis-Besse nuclear plant","value":"4 h 50 min"},{"de":"infizierte Computer mindestens, vielleicht erheblich mehr","en":"infected computers at least, perhaps considerably more","value":"75,000"}],"key":"sql-slammer","name":"SQL Slammer","product":"Microsoft SQL Server 2000","sources":[{"de":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF)","title":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF)","url":"https://css.csail.mit.edu/6.566/2018/readings/slammer.pdf"},{"de":"CAIDA: die Ausbreitung des Sapphire/Slammer-Wurms","title":"CAIDA: the spread of the Sapphire/Slammer worm","url":"https://www-old.caida.org/publications/papers/2003/sapphire/sapphire.html"},{"de":"Microsoft-Sicherheitsbulletin MS02-039","title":"Microsoft security bulletin MS02-039","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2002/ms02-039"},{"de":"NVD: CVE-2002-0649","title":"NVD: CVE-2002-0649","url":"https://nvd.nist.gov/vuln/detail/CVE-2002-0649"},{"de":"US-NRC, Information Notice 2003-14: Slammer im Netzwerk des Kernkraftwerks Davis-Besse (PDF)","title":"US NRC Information Notice 2003-14: Slammer in the network of the Davis-Besse nuclear plant (PDF)","url":"https://www.nrc.gov/docs/ML0324/ML032410430.pdf"}],"vector":"AV:N/AC:L/Au:N/C:P/I:P/A:P","year":2003}},"description":"Im Januar 2003 infizierte ein nur 376 Byte großer Wurm in 10 Minuten mehr als 90 % der verwundbaren Microsoft-SQL-Server. Wie er sich verbreitete und was er traf.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am frühen Morgen des 25. Januar 2003, einem Samstag, infizierte ein Wurm namens SQL Slammer, auch Sapphire genannt, in 10 Minuten mehr als 90 % der verwundbaren Computer im Internet. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Slammer griff die Datenbanksoftware SQL Server 2000 von Microsoft über eine Sicherheitslücke an, die Microsoft sechs Monate zuvor behoben hatte, und schon sein Datenverkehr legte Netzwerke und andere Systeme lahm.\nSo funktionierte der Wurm SQL Server 2000 kann auf einem Rechner mehrere Kopien des Datenbankservers betreiben, sogenannte Instanzen. Ein kleines Hilfsprogramm, der SQL Server Resolution Service, teilt Programmen mit, welchen Netzwerkport – eine Art nummerierte Tür – jede Instanz verwendet. Der Dienst selbst wartet auf UDP-Port 1434 auf Anfragen. UDP ist ein Verfahren, einzelne Datenpakete zu verschicken, ohne vorher eine Verbindung aufzubauen.\nEin Teil dieses Dienstes kopierte Daten aus einem eingehenden Paket in einen Speicherbereich fester Größe, einen sogenannten Puffer, ohne die Länge zu prüfen. Ein einziges präpariertes Paket konnte den Puffer überlaufen lassen und Code im Datenbankserver ausführen. Derselbe Dienst steckt auch in MSDE 2000, einer Datenbank-Engine, die Microsoft zudem in anderen Produkten auslieferte, etwa in Visual Studio.\nSlammer war nichts anderes als ein solches Paket: 376 Byte Code, 404 Byte als vollständiges Paket. Er trug keine Schadfunktion, nur den Code, um sich zu verbreiten. Jeder infizierte Computer verschickte Kopien an zufällige Adressen, so schnell seine Netzwerkverbindung es zuließ. Weil UDP keine Antwort braucht, begrenzte nur die Bandbreite der Netze das Tempo. Der Wurm lebte nur im Arbeitsspeicher und hinterließ keine Datei. Ein Neustart entfernte ihn, doch ein nicht gepatchter Server war innerhalb weniger Minuten erneut infiziert.\nInfizierter Serververschickt Kopien, so schnell die Leitung es erlaubt Ein UDP-Paket404 Byte, ohne Verbindungsaufbau Resolution Servicekopiert das Paket in einen zu kleinen Puffer Neues Opferverschickt sofort selbst Kopien Weder eine Antwort noch ein Verbindungsaufbau war nötig. Deshalb begrenzte nur die Bandbreite, wie schnell sich der Wurm ausbreitete. Tempo und Reichweite Forscher von CAIDA und anderen Instituten rekonstruierten den Ausbruch anhand von Daten zum Netzwerkverkehr und veröffentlichten 2003 ihre Studie „Inside the Slammer Worm“. Ein Scan ist in der Tabelle unten ein Versuch, eine zufällige Adresse zu erreichen.\nZeit nach der FreisetzungWas geschah 0Slammer beginnt kurz vor 5:30 Uhr UTC, Computer zu infizieren Erste MinuteDie Zahl der infizierten Computer verdoppelt sich alle 8,5 Sekunden Etwa 3 MinutenInfizierte Computer senden zusammen mehr als 55 Millionen Scans pro Sekunde Etwa 10 MinutenMehr als 90 % der verwundbaren Computer sind infiziert 30 MinutenDie Forscher haben 74.856 verschiedene infizierte Adressen gesehen Innerhalb einer StundeViele Netzwerke beginnen, UDP-Port 1434 zu sperren Für den Ausbruch von Code Red im Jahr 2001 nennt die Studie eine Verdopplungszeit von etwa 37 Minuten. Slammer war laut der Studie zwei Größenordnungen schneller, also etwa hundertmal so schnell. Ein einzelner infizierter Computer schickte bis zu 26.000 Scans pro Sekunde; im Durchschnitt waren es etwa 4.000.\nDie Forscher zählten mindestens 75.000 infizierte Computer, „vielleicht erheblich mehr“. Der größte Anteil entfiel auf die USA:\nWo die infizierten Computer standen USA42,9 % Südkorea11,8 % Standort unbekannt7,0 % China6,3 % Taiwan4,0 % Kanada2,9 % Australien2,4 % Vereinigtes Königreich2,0 % Japan1,7 % Niederlande1,5 % Anteil an den beobachteten infizierten Adressen, die zehn größten Werte. Quelle: Inside the Slammer Worm (2003).\nWas der Datenverkehr traf Slammer veränderte oder löschte keine Daten. Der Schaden entstand durch seinen Datenverkehr, der Netze überlastete und andere Systeme mit sich riss.\nDer am besten dokumentierte Fall ist das Kernkraftwerk Davis-Besse in Ohio, USA. Nach Angaben der US-Atomaufsicht Nuclear Regulatory Commission (NRC) gelangte der Wurm am 25. Januar in das Netzwerk des Kraftwerks. Das Safety Parameter Display System, das wichtige Sicherheitswerte anzeigt, war 4 Stunden und 50 Minuten lang nicht verfügbar, der Prozessrechner des Kraftwerks 6 Stunden und 9 Minuten lang. Laut NRC waren die Steuerungs- und Schutzfunktionen des Kraftwerks nicht betroffen.\nPresseberichte aus jener Zeit, die die Studie zitiert, nannten außerdem Geldautomaten, Notruf-Terminals und gestrichene Flüge. Eine verlässliche Zahl zu den Gesamtkosten gibt es nicht: Es liegen nur Schätzungen aus Presse und Branche vor.\nDer Patch und die Reaktion Das britische Unternehmen NGSSoftware hatte Microsoft die Sicherheitslücke gemeldet. Am 24. Juli 2002 veröffentlichte Microsoft das Sicherheitsbulletin MS02-039 mit einem Patch und der Empfehlung: „Systemadministratoren sollten den Patch unverzüglich installieren.“ Einen Tag später nahm Microsoft MSDE 2000 in das Bulletin auf, und der Fix wurde später Teil von SQL Server 2000 Service Pack 3. Laut Microsoft schützt der Patch „SQL Server 2000 und MSDE 2000 wirksam vor dem Wurm SQL Slammer“. Sechs Monate nach seiner Veröffentlichung fehlte er noch auf mindestens 75.000 Computern.\nWährend des Ausbruchs begannen viele Netzwerke binnen einer Stunde, in ihren Routern und Firewalls alle Pakete an UDP-Port 1434 zu sperren. Da hatte der Wurm fast alle verwundbaren Computer längst erreicht.\nDie US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 7,5 von 10; einen Wert nach der neueren Version 3 gibt es nicht. Der Wert ist nicht höher, weil SQL Server standardmäßig mit den Rechten eines gewöhnlichen Benutzerkontos läuft, nicht mit vollen Systemrechten.","title":"SQL Slammer: Der Wurm, der in 10 Minuten 90 % seiner Ziele infizierte","url":"https://crackthe.net/de/schwachstellen/sql-slammer/"}