Nieuw SQL-lek treft Microsoft

Helse week voor softwaregigant

Microsofts SQL Server bevat een bug die toelaat om malafide code uit te voeren. Dergelijke lekken openen vaak de deur voor SQL inject-aanvallen, die er vooral op gericht zijn om websites te kapen.

De SQL-bug kan enkel uitgebuit worden door geauthenticeerde gebruikers op het systeem. Volgens Microsoft is het gevaar van het lek daardoor minimaal. Maar volgens SEC Consult is het wel degelijk mogelijk om de kwetsbaarheid van op afstand te misbruiken op sites die zoekformulieren, klantendatabanken en andere webtoepassingen met SQL Server gebruiken.

Een typische aanval vindt dus plaats wanneer in zo'n formulier een malafide SQL-opdracht wordt ingevoerd. Een aanvaller kan daarna toegang krijgen tot een website. In zo'n scenario wordt een gekaapte server dikwijls ingezet om bezoekers op hun beurt te infecteren met malware.

De kwetsbaarheid in SQL Server komt vlak nadat een gevaarlijk lek in Internet Explorer is ontdekt. Afgelopen donderdag rolde Microsoft ook de grootste lading patches ooit uit op een Patch Tuesday. Daarbij zou Microsoft dus een aantal lekken over het hoofd gezien hebben.

bron: IT Professional