Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

xmco : Microsoft confirme la vulnérabilité découverte dans SQL Server et propose un contournement

décembre 2008 par XMCO PARTNERS

Avis de sécurité Microsoft : une vulnérabilité dans SQL Server peut permettre l’exécution de code à distance

 Date : 24 Decembre 2008

 Plateforme : Windows

 Programme : SQL Server

 Exploitation : Locale

 Description :
La récente vulnérabilité sur les serveurs MSSQL vient d’être confirmée par Microsoft. Une personne mal intentionnée possédant un compte sur le serveur SQL pouvait provoquer un débordement de mémoire au sein de la procédure SQL "sp_replwritetovarbin()" afin de prendre le contrôle du serveur.

Note : un code exploitant cette vulnérabilité est déjà disponible. Vous pouvez le retrouver dans le bulletin XMCO n°1229595652 [4].

 Vulnérable :
 * Microsoft SQL Server 2000 SP4
 * Microsoft SQL Server 2005 SP2
 * Microsoft SQL Server 2005 Express Edition SP2
 * Microsoft SQL Server 2005 Express Edition Advanced Services SP2
 * Windows Internal Database (WYukon) Service P2

 Non Vulnérable :
 * Microsoft SQL Server 7.0 SP4
 * Microsoft SQL Server 2005 SP3
 * Microsoft SQL Server 2008

 Référence :
 [1] http://www.microsoft.com/technet/security/advisory/961040.mspx
 [2] http://support.microsoft.com/kb/961040
 [3] http://blogs.technet.com/swi/archive/2008/12/22/more-information-about-the-sql-stored-procedure-vulnerability.aspx
 [4] http://xmcopartners.com/veille/client/index.xmco?nv=1229595652

 Référence CVE :
 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4270

 Correction :
Microsoft propose de restreindre l’accès à la procédure SQL "sp_replwritetovarbin()".
Pour cela il est nécessaire d’exécuter les commandes T-SQL suivantes :

use master
deny execute on sp_replwritetovarbin to public

Afin de restaurer cette procédure, il est nécessaire d’exécuter les commandes T-SQL ci-dessous :

use master
grant execute on sp_replwritetovarbin to public

 Lien extranet XMCO :

http://xmcopartners.com/veille/client/index.xmco?nv=1230112639


Voir les articles précédents

    

Voir les articles suivants