Scoperta una vulnerabilità in alcune versioni di SQL Server

Con un comunicato ufficiale, pubblicato sotto forma di bollettino (ved. questa pagina), Microsoft ha messo in allerta gli utenti delle versioni più “datate” di SQL Server che sarebbero affette da un grave problema di sicurezza.

La falla di sicurezza interessa una “stored procedure” estesa (sp_replwritetovarbin) messa a disposizione in tutte le versioni di SQL Server afflitte dal problema (SQL Server 2000, SQL Server 2005, SQL Server 2005 Express Edition, SQL Server 2000 Desktop Engine e Windows Internal Database). Sfruttando questa “lacuna”, un aggressore può riuscire ad eseguire codice arbitrario con i diritti del processo utilizzato sul sistema da parte di SQL Server.

Secondo le prime analisi della problematica, l’attacco potrebbe essere posto in essere sfruttando eventuali vulnerabilità dell’applicazione web che utilizza SQL Server.

Microsoft suggerisce agli utenti delle versioni vulnerabili di SQL Server, di bloccare l’esecuzione della “stored procedure” affetta dal problema. Ciò è possibile collegandosi alla console di amministrazione e digitando quanto segue:
use master
deny execute on sp_replwritetovarbin to public

La vulnerabilità di sicurezza, per la quale dovrebbe comunque essere presto rilasciata una patch risolutiva, non interessa Microsoft SQL Server 7.0 Service Pack 4, Microsoft SQL Server 2005 Service Pack 3 e Microsoft SQL Server 2008.