 Microsoft ha pubblicato il nuovo Security Advisory 961040 per informare i clienti riguardo segnalazioni pubbliche di una nuova vulnerabilità in SQL Server che potrebbe permettere l'esecuzione di codice in modalità remota.
La vulnerabilità è stata identificata nelle edizioni supportate di Microsoft SQL Server 2000, Microsoft SQL Server 2005, Microsoft SQL Server 2005 Express Edition, Microsoft SQL Server 2000 Desktop Engine (MSDE 2000), Microsoft SQL Server 2000 Desktop Engine (WMSDE), e Windows Internal Database (WYukon). I sistemi con Microsoft SQL Server 7.0 Service Pack 4, Microsoft SQL Server 2005 Service Pack 3, e Microsoft SQL Server 2008 non sono affetti da questa problematica.
 SA961051: Novità sulla Falla in IE - IE7: Falla 0-Day e SA961051 - Altre
Microsoft è a conoscenza di codice exploit reso pubblico su Internet in grado di sfruttare la vulnerabilità. Tuttavia l'azienda non è a conoscenza di alcun attacco in-the-wild contro la falla.
Per sfruttare con successo questa vulnerabilità un attacker deve essere un utente autenticato locale o remoto sul sistema. Tuttavia se un attacker ha già compromesso un web server tramite SQL injection potrebbe essere in grado di sfruttare la vulnerabilità come un utente autenticato. È importante notare che i sistemi con Microsoft SQL Server 7.0 Service Pack 4, Microsoft SQL Server 2005 SP3 e Microsoft SQL Server 2008 non sono affetti da questa vulnerabilità. Inoltre, dato che in maniera predefinita Microsoft SQL Server Desktop Engine 2000 (MSDE 2000) e SQL Server 2005 Express non consentono connessioni remote, gli attacker dovrebbero avere già ottenuto accesso locale alle macchine che eseguono MSDE 2000 e SQL Server 2005 Express per riuscire a sfruttare questa vulnerabilità.
Il Security Advisory 961040 include alcune soluzioni consigliate generiche in grado di proteggere i clienti fino al rilascio di una patch di protezione per i prodotti affetti. A conclusione della sua indagine sulla problematica, Microsoft intraprenderà l'azione appropriata per aiutare a proteggere i clienti. Questo potrebbe includere la fornitura di una soluzione tramite un service pack, il processo di aggiornamento di protezione mensile, oppure un aggiornamento di protezione out-of-cycle, a seconda delle necessità. |
|
non ci sono commenti
