xmco : Microsoft confirme la vulnérabilité découverte dans SQL Server et propose un contournement
décembre 2008 par XMCO PARTNERS
Avis de sécurité Microsoft : une vulnérabilité dans SQL Server peut permettre l’exécution de code à distance
– Date : 24 Decembre 2008
– Plateforme : Windows
– Programme : SQL Server
– Exploitation : Locale
– Description :
La récente vulnérabilité sur les serveurs MSSQL vient d’être confirmée par Microsoft. Une personne mal intentionnée possédant un compte sur le serveur SQL pouvait provoquer un débordement de mémoire au sein de la procédure SQL "sp_replwritetovarbin()" afin de prendre le contrôle du serveur.
Note : un code exploitant cette vulnérabilité est déjà disponible. Vous pouvez le retrouver dans le bulletin XMCO n°1229595652 [4].
– Vulnérable :
– * Microsoft SQL Server 2000 SP4
– * Microsoft SQL Server 2005 SP2
– * Microsoft SQL Server 2005 Express Edition SP2
– * Microsoft SQL Server 2005 Express Edition Advanced Services SP2
– * Windows Internal Database (WYukon) Service P2
– Non Vulnérable :
– * Microsoft SQL Server 7.0 SP4
– * Microsoft SQL Server 2005 SP3
– * Microsoft SQL Server 2008
– Référence :
– [1] http://www.microsoft.com/technet/security/advisory/961040.mspx
– [2] http://support.microsoft.com/kb/961040
– [3] http://blogs.technet.com/swi/archive/2008/12/22/more-information-about-the-sql-stored-procedure-vulnerability.aspx
– [4] http://xmcopartners.com/veille/client/index.xmco?nv=1229595652
– Référence CVE :
– http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4270
– Correction :
Microsoft propose de restreindre l’accès à la procédure SQL "sp_replwritetovarbin()".
Pour cela il est nécessaire d’exécuter les commandes T-SQL suivantes :
use master
deny execute on sp_replwritetovarbin to public
Afin de restaurer cette procédure, il est nécessaire d’exécuter les commandes T-SQL ci-dessous :
use master
grant execute on sp_replwritetovarbin to public
– Lien extranet XMCO :
http://xmcopartners.com/veille/client/index.xmco?nv=1230112639