text: Microsoft warnt vor Angriffen auf SQL-Server
  Exploit für SQL-Server-Schwachstelle aufgetaucht Microsoft warnt vor Angriffen auf SQL-Server
  05.01.2009 Redakteur: Peter Schmitz
  Für eine bisher noch ungepatchte Sicherheitslücke im SQL-Server ist seit kurzem ein Exploit im Internet aufgetaucht, bestätigt Software-Riese Microsoft in einer heute veröffentlichten Warnung. Angreifer können damit Code auf dem betroffenen Server ausführen.
  Microsoft bestätigt das Auftauchen von Exploit-Code für eine kürzlich entdeckte Schwachstelle im SQL-Server.
  Ein authentifizierter User kann auf einem verwundbaren SQL-Server durch die Schwachstelle in einer extended stored procedure einen ungültigen Parameter-Check erzeugen und so Code auf dem Server ausführen, informiert das heute veröffentlichte Microsoft SQL-Server Security Adviosory.
  "Alle Systeme, auf denen eine der betroffenen SQL-Server-Versionen läuft und auf denen ein bösartiger Benutzer sich anmelden kann sind in Gefahr, durch die Schwachstelle angegriffen zu warden." bestätigt Microsoft. "Außerdem sind auch Webanwendungen mit einem SQL-Server-Backend gefährdet, wenn eine SQL-Injection-Verwundbarkeit besteht."
  "Ein Angreifer kann die Schwachstelle remote ausnutzen, so lange er sich auf dem System als Benutzer authentifizieren kann." Sagt Bill Sisk, Response-Manager beim Microsoft Security Response Center (MSRC). "Angreifer können die Schwachstelle aber auch ohne vorherige Anmeldung am SQL-Server ausnutzen, wenn auf dem Webfrontend zusätzlich noch eine SQL-Injection-Schwachstelle besteht. " so Sisk weiter.
  Verwundbar sind folgende Versionen des Datenbankservers: Microsoft SQL Server 2000, Microsoft SQL Server 2005, Microsoft SQL Server 2005 Express Edition, Microsoft SQL Server 2000 Desktop Engine (MSDE 2000 and WMSDE) und die Windows Internal Database (WYukon).
  "Wir sind uns darüber im Klaren, dass der Exploit-Code im Internet veröffentlicht wurde, wir haben bisher jedoch noch von keinem Angriff gehört, der die entsprechende Methode ausnutzt." So Sisk in seinem MSRC-Blog.
  Workaround und Patch
  Als Workaround empfiehlt Microsoft den Zugriff auf die stored procedure sp_replwritetovarbin zu sperren. Nach Angaben Microsofts wird die Enschränkung der Zugriffsrechte auf die stored procedure für den Großteil der SQL-Server-Anwender keine Folgen haben.
  Bernhard Müller, ein Security-Consultant von SEC Consult entdeckte die Schwachstelle Anfang Dezember und stellte da bereits ein T-SQL Skript zur Verfügung, das den SQL-Server auf die Schwachstelle testet. In seinem Advisory bestätigt Müller, dass er von Microsoft eine E-Mail erhalten habe, dass ein Fix für die Schwachstelle fertiggestellt sei. Derzeit hat Microsoft eine Veröffentlichung des Updates außerhalb des üblichen Patch-Day-Turnus noch nicht ausgeschlossen.