Les syst\u00e8mes Microsoft SQL Server 7.0 SP 4, Microsoft SQL Server 2005 SP3 et Microsoft SQL Server 2008 ne seraient pas affect\u00e9s.
","closed_at":"2009-02-11","content":"## Description\n\nUne vuln\u00e9rabilit\u00e9 de type d\u00e9bordement de m\u00e9moire dans la proc\u00e9dure\nstock\u00e9e \u00e9tendue sp_replwritetovarbin() de Microsoft SQL Server permet \u00e0\nune personne malintentionn\u00e9e d'ex\u00e9cuter du code arbitraire.\n\nAssoci\u00e9e \u00e0 une vuln\u00e9rabilit\u00e9 de type injection de code SQL, cette\nvuln\u00e9rabilit\u00e9 permet une ex\u00e9cution de code \u00e0 distance.\n\n## Contournement provisoire\n\nIl est recommand\u00e9 de supprimer la proc\u00e9dure stock\u00e9e \u00e9tendue vuln\u00e9rable\nou d'en changer les droits d'ex\u00e9cution (cf. section Documentation).\n\nCeci peut entrainer des dysfonctionnements dans d'autres applications.\n\nLes bonnes pratiques en mati\u00e8re de d\u00e9veloppement Web, notamment pour se\nprot\u00e9ger des injections SQL peuvent limiter les possibilit\u00e9s\nd'exploitation de cette vuln\u00e9rabilit\u00e9.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 Microsoft MS09-004 pour l'obtention\ndes correctifs (cf. section Documentation).\n","cves":[{"name":"CVE-2008-5416","url":"https://www.cve.org/CVERecord?id=CVE-2008-5416"}],"links":[{"title":"Avis de s\u00e9curit\u00e9 Microsoft 961040 du 22 d\u00e9cembre 2008\u00a0:","url":"http://www.microsoft.com/technet/security/advisory/961040.mspx"},{"title":"Bulletin de s\u00e9curit\u00e9 Microsoft MS09-004 du 10 f\u00e9vrier 2009 :","url":"http://www.microsoft.com/technet/security/Bulletin/MS09-004.mspx"},{"title":"Bulletin de s\u00e9curit\u00e9 Microsoft MS09-004 du 10 f\u00e9vrier 2009 :","url":"http://www.microsoft.com/france/technet/security/Bulletin/MS09-004.mspx"},{"title":"Avis CERTA-2009-AVI-061 :","url":"http://www.certa.ssi.gouv.fr/site/CERTA-2009-AVI-061/index.html"},{"title":"D\u00e9sactivation de proc\u00e9dures stock\u00e9es \u00e9tendues :","url":"http://msdn.microsoft.com/fr-fr/library/ms189506.aspx"},{"title":"Bloc-notes SVRD, \"More information about the SQL stored procedure vulnerability\", 22 d\u00e9cembre 2008\u00a0:","url":"http://blogs.technet.com/swi/archive/2008/12/22/more-information-about-the-sql-stored-procedure-vulnerability.aspx"},{"title":"R\u00e9f\u00e9rence CVE CVE-5416:","url":"http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5416"},{"title":"Bloc-notes MSRC, \"Microsoft Security Advisory 961040\" du 22 d\u00e9cembre 2008\u00a0:","url":"http://blogs.technet.com/msrc/archive/2008/12/22/microsoft-security-advisory-961040.aspx"}],"reference":"CERTA-2008-ALE-017","revisions":[{"description":"version initiale.","revision_date":"2008-12-12T00:00:00.000000"},{"description":"ajout de la r\u00e9f\u00e9rence CVE, des liens Microsoft et mise \u00e0 jour des versions vuln\u00e9rables.","revision_date":"2008-12-23T00:00:00.000000"},{"description":"ajout de la section solution et modification du CVE","revision_date":"2009-02-11T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire"}],"summary":"Une vuln\u00e9rabilit\u00e9 dans Microsoft SQL Server\npermet \u00e0 une personne malintentionn\u00e9e d'ex\u00e9cuter du code arbitraire.\n","title":"Vuln\u00e9rabilit\u00e9 dans Microsoft SQL Server","vendor_advisories":[]}