Microsoft bevestigt zero-day lek in SQL Server
Microsoft waarschuwt gebruikers van Microsoft SQL Server 2000 en 2005 voor een beveiligingslek waardoor aanvallers het systeem over kunnen nemen. De kwetsbaarheid werd twee weken geleden al gemeld en voorzien van exploitcode. De softwaregigant laat weten dat het nog geen aanvallen in het wild heeft gezien. Dit komt mede door de aard van het lek, een aanvaller moet zich kunnen authenticeren of via SQL-injectie een webapplicatie gebruiken die dit kan.
In het geval van Microsoft SQL Server 2000 Desktop Engine en SQL Server 2005 Express worden standaard geen verbindingen van buitenaf geaccepteerd. Een geauthenticeerde aanvaller zou de aanval daarom alleen lokaal kunnen uitvoeren. In afwachting op een update krijgen systeembeheerders het advies om toegang tot de sp_replwritetovarbin extended stored procedure te blokkeren. Microsoft laat in deze technische analyse weten dat het blokkeren van de procedure in kwestie voor de meeste gebruikers geen gevolgen heeft.
Dus komende dage zullen nog wel enkele honderdduizenden web-servers extra te grazen genomen worden.
Misschien wel een tweede noodverbandje deze maand?
Volgend jaar stapt Microsoft af van de maandelijkse patch-dag (opzich al een volkomen belachelijk idee natuurlijk). En dan zullen ze heel hard in de media gaan verkondigen dat ze met hun dagelijkse patches veiliger zijn dan alle concurrentie bij elkaar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
