S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 25 juillet 2002
N° CERTA-2002-AVI-156
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans MS SQL Server 2000 et MSDE 2000

Gestion du document

Référence CERTA-2002-AVI-156
Titre Vulnérabilités dans MS SQL Server 2000 et MSDE 2000
Date de la première version25 juillet 2002
Date de la dernière version25 juillet 2002
Source(s) Bulletin de sécurité #MS02-038 de Microsoft
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Exécution de code arbitraire à distance
  • Prise de contrôle de la base SQL
  • Élévation de privilèges

Systèmes affectés

  • MS SQL Server 2000 ;
  • MSDE 2000.

Résumé

Deux vulnérabilités ont été découvertes dans MS SQL Server 2000 et MSDE 2000.

Description

  • Database Consistency Checkers (DBCCs) est un ensemble d'utilitaires exécutables en ligne de commande intégrés à SQL Server 2000 permettant d'assurer la maintenance ou d'effectuer diverses opérations sur un serveur SQL Server. Une vulnérabilité de type débordement de mémoire présente dans DBCCs permet à un individu mal intentionné d'exécuter du code arbitraire à distance dans le contexte d'exécution du service SQL Server ou bien de prendre le contrôle de la base de données.
  • Une vulnérabilité d'injection SQL présente dans deux procédures stockées, utilisées pour la réplication des bases de données permet, dans certains cas, à un individu mal intentionné d'exécuter du code arbitraire à distance.

Solution

Appliquer le correctif cumulatif fourni par Microsoft (cf. Documentation).

Documentation

Gestion détaillée du document

    le 25 juillet 2002
    version initiale.