Kritische Sicherheitslücke in älteren SQL-Server-Versionen

Microsoft hat seine Kunden vor einer kritischen Sicherheitslücke in älteren Versionen seiner SQL-Server-Datenbank gewarnt. Das Unternehmen empfiehlt den Anwendern, zeitnah einen Workaround einzuspielen. Über eine Sicherheitslücke in der Extended Stored Procedure "sp_replwritetovarbin" könne ein Angreifer beliebigen Code im Rahmen des SQL-Server-Prozesses ausführen. Die betroffene Stored Procedure ist per Default für alle SQL-Server-Anwender aufrufbar. Die Ausnutzung ist durch einen angemeldeten Benutzer oder über SQL-Injection-Schwachstellen möglich.

Betroffene Versionen sind SQL Server 2000, SQL Server 2005, SQL Server 2005 Express Edition, SQL Server 2000 Desktop Engine und Windows Internal Database (WYukon). Neuere Versionen der Datenbank sind laut Microsoft nicht betroffen.

Nach Angaben des österreichischen Beratungsunternehmens SEC Consult wurde die Lücke bereits im April dieses Jahres an Microsoft gemeldet. Nachdem Microsoft sich damals mit der Veröffentlichung eines Patches Zeit gelassen hatte, hatte SEC Consult zwei Wochen später einen Prototyp zum Schließen der Lücke vorgestellt. Die Berater machen zusätzlich deutlich, dass Microsoft bereits seit drei Monaten den Patch in petto habe.

Siehe dazu auch:

• Sicherheitslücke in MS SQL Server 2000, heise Security am 9.12.
• Vulnerability in SQL Server Could Allow Remote Code Execution

(ane)