「Microsoft SQL Server」に脆弱性 - ゼロデイ攻撃用の検証コードも

マイクロソフトは、「Microsoft SQL Server」に外部からリモートでコードが実行される脆弱性が明らかになったとしてアドバイザリを公開し、現在調査を進めている。

脆弱性が含まれるのは「Microsoft SQL Server 2000 Service Pack 4」「Microsoft SQL Server 2005」「Microsoft SQL Server 2005 Express Edition」「Microsoft SQL Server 2000 Desktop Engine」「Microsoft SQL Server 2000 Desktop Engine」「Windows Internal Database」。

「Microsoft SQL Server 7.0 Service Pack 4」「Microsoft SQL Server 2005 Service Pack 3」「Microsoft SQL Server 2008 」は影響を受けない。

脆弱性に対する攻撃を行うためには、脆弱性が含まれる「Microsoft SQL Server」をインストールしたシステムへの認証が必要だが、同ソフトをウェブアプリケーションのバックエンドとして利用している場合、SQLインジェクションの脆弱性を利用して攻撃が行われる可能性もあるという。

すでに脆弱性の検証コードがインターネット上へ公開されており、同社では検証用コードによる攻撃を回避するための対策や緩和策を公開し、対策を呼びかけている。さらに同社では、詳細について調査が完了次第、定例外のセキュリティ更新プログラムの提供などを含め、対策を実施する予定。

マイクロソフトセキュリティアドバイザリ (961040)
http://www.microsoft.com/japan/technet/security/advisory/961040.mspx

マイクロソフト
http://www.microsoft.com/japan/

（Security NEXT - 2008/12/24 ）ツイート

PR

国家関与のサイバー攻撃「ArcaneDoor」 - 初期侵入経路は不明、複数ゼロデイ脆弱性を悪用
 国内でも被害発生、「ColdFusion」の既知脆弱性狙う攻撃
 米政府、悪用が確認された脆弱性3件について注意喚起
 「PAN-OS」脆弱性への攻撃、国内でも被害報告
 「PAN-OS」のアップデートが公開 - 旧版にも順次提供予定
 「PAN-OS」脆弱性、攻撃条件を修正 - 一部緩和策が「効果なし」に
 「PAN-OS」脆弱性に対する攻撃が増加 - コマンドで悪用試行を確認可能
 「PAN-OS」脆弱性の詳細や悪用コードが公開済み - 攻撃拡大のおそれ
 「PAN-OS」に対するゼロデイ攻撃、国内被害は未確認
 「PAN-OS」を狙う「Operation MidnightEclipse」 - 3月下旬より展開

「Microsoft SQL Server」に脆弱性 - ゼロデイ攻撃用の検証コードも

PR

関連記事