Microsoftは米国時間12月22日遅く、同社のSQL Server製品に影響のある、リモートでコードが実行される脆弱性に関するパッチ前のアドバイザリを公開した。
この脆弱性は、2週間以上前に攻撃コードが公になっていたものであり、Microsoft SQL Server 2000、Microsoft SQL Server 2005、Microsoft SQL Server 2005 Express Edition、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)、Microsoft SQL Server 2000 Desktop Engine (WMSDE)、Windows Internal Database (WYukon)に影響がある。
（参照：As attacks escalate, MS readies emergency IE patch）
アドバイザリでは、次のように述べられている。
マイクロソフトは、このアドバイザリで解決された脆弱性についての検証用コードがインターネットに公開されたことを確認しています。この検証用コードに関するマイクロソフトの調査では、下記の回避策を適用している場合は影響を受けないことを確認しています。現在、マイクロソフトはこの検証用コードが使用された攻撃、また現時点でのお客様への影響を認識していません。
さらに、MSDE 2000 および SQL Server 2005 Express の既定インストールの緩和要素により、マイクロソフトは現時点で、MSDE 2000 または SQL Server 2005 Express を使用した、リモート攻撃に対して脆弱なサードパーティのアプリケーションを確認していません。しかし、マイクロソフトはこの状況を積極的に監視しながら、必要に応じてお客様にガイダンスを提供します。
（参照：MS Patch Tuesday whopper: 28 vulnerabilities in Windows, IE, Office）
この脆弱性は、匿名で攻撃可能なものではない。Microsoftの説明によれば、攻撃者がこの脆弱性を突くためには、認証を受けるか、認証を受けることができるウェブアプリケーションのSQLインジェクションの脆弱性を利用する必要がある。
この問題があるかどうかをテストするための、T-SQLスクリプトが提供されている。パッチがまだ提供されていないため、MicrosoftはSQL Serverの管理者に対し、sp_replwritetovarbin 拡張ストアド プロシージャのアクセスを拒否することを推奨している。詳細については、Microsoftのアドバイザリを参照して欲しい。
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
