Nieuws
image

Microsoft bevestigt zero-day lek in SQL Server

dinsdag 23 december 2008, 10:02 door Redactie, 1 reacties

Microsoft waarschuwt gebruikers van Microsoft SQL Server 2000 en 2005 voor een beveiligingslek waardoor aanvallers het systeem over kunnen nemen. De kwetsbaarheid werd twee weken geleden al gemeld en voorzien van exploitcode. De softwaregigant laat weten dat het nog geen aanvallen in het wild heeft gezien. Dit komt mede door de aard van het lek, een aanvaller moet zich kunnen authenticeren of via SQL-injectie een webapplicatie gebruiken die dit kan.

In het geval van Microsoft SQL Server 2000 Desktop Engine en SQL Server 2005 Express worden standaard geen verbindingen van buitenaf geaccepteerd. Een geauthenticeerde aanvaller zou de aanval daarom alleen lokaal kunnen uitvoeren. In afwachting op een update krijgen systeembeheerders het advies om toegang tot de sp_replwritetovarbin extended stored procedure te blokkeren. Microsoft laat in deze technische analyse weten dat het blokkeren van de procedure in kwestie voor de meeste gebruikers geen gevolgen heeft.

Reacties (1)
23-12-2008, 19:06 door Anoniem
Op http://www.securityfocus.com/bid/32710/info heeft men het over een Remote Memory Corruption Vulnerability. Microsoft zelf zegt Microsoft is investigating new public reports of a vulnerability that could allow remote code execution on systems with supported editions of Microsoft SQL Server 2000, Microsoft ....
Dus komende dage zullen nog wel enkele honderdduizenden web-servers extra te grazen genomen worden.
Misschien wel een tweede noodverbandje deze maand?
Volgend jaar stapt Microsoft af van de maandelijkse patch-dag (opzich al een volkomen belachelijk idee natuurlijk). En dan zullen ze heel hard in de media gaan verkondigen dat ze met hun dagelijkse patches veiliger zijn dan alle concurrentie bij elkaar.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search