Nu weer lekken in Microsoft SQL Server geconstateerd

Twee van de problemen ontstaan door fouten in de manier waarop Microsoft de zogeheten 'named pipes' in zijn database heeft ontworpen. 'Named pipes' zijn een mechanisme voor het delen van gegevens tussen verschillende processen die op één of meer systemen draaien. Het mechanisme wordt onder meer gebruikt bij de aanlogprocedure. Een hacker die toegang heeft tot het netwerk, zou aanloggegevens van anderen - ook van de systeembeheerder - kunnen afluisteren door de betreffende 'named pipe' te kapen. Los daarvan blijkt één van de 'named pipes'-bewerkingen gevoelig voor onverwachte input; daardoor kan een kwaadwillende het systeem laten vastlopen. Het derde probleem vloeit voort uit een onbeschermde buffer bij de afhandeling van de communicatie tussen SQL Server en het onderliggende besturingssysteem. Daardoor kan een hacker het systeem laten vastlopen en code van eigen makelij binnensmokkelen. Microsoft geeft het dichten van deze lekken niet de hoogste urgentie, omdat ze alleen te exploiteren zijn door iemand die op locatie als geregistreerd gebruiker toegang heeft tot het netwerk. Eerder deze week bleek echter uit Zwitsers onderzoek dat de eerste verdedigingslijn van aanmelden als geregistreerd gebruiker niet al te sterk is in Windows -implementaties. Patches voor de verschillende versies van SQL Server zijn te vinden op de website van Microsoft. (jwy) Zie ook:Windows-wachtwoorden in 30 seconden te kraken - 23 juli 2003