編集部からのお知らせ
解説:1st ? 2nd ? 3rd ? データ活用での選択
セキュリティの懸念高まる産業用制御機器

マイクロソフトがSQL Serverに重大な脆弱性があることを認める

文:Ryan Naraine(Special to ZDNet.com) 翻訳校正:石橋啓一郎

2008-12-24 09:46

 Microsoftは米国時間12月22日遅く、同社のSQL Server製品に影響のある、リモートでコードが実行される脆弱性に関するパッチ前のアドバイザリを公開した。

 この脆弱性は、2週間以上前に攻撃コードが公になっていたものであり、Microsoft SQL Server 2000、Microsoft SQL Server 2005、Microsoft SQL Server 2005 Express Edition、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)、Microsoft SQL Server 2000 Desktop Engine (WMSDE)、Windows Internal Database (WYukon)に影響がある。

 (参照:As attacks escalate, MS readies emergency IE patch

 アドバイザリでは、次のように述べられている。

 マイクロソフトは、このアドバイザリで解決された脆弱性についての検証用コードがインターネットに公開されたことを確認しています。この検証用コードに関するマイクロソフトの調査では、下記の回避策を適用している場合は影響を受けないことを確認しています。現在、マイクロソフトはこの検証用コードが使用された攻撃、また現時点でのお客様への影響を認識していません。

 さらに、MSDE 2000 および SQL Server 2005 Express の既定インストールの緩和要素により、マイクロソフトは現時点で、MSDE 2000 または SQL Server 2005 Express を使用した、リモート攻撃に対して脆弱なサードパーティのアプリケーションを確認していません。しかし、マイクロソフトはこの状況を積極的に監視しながら、必要に応じてお客様にガイダンスを提供します。

 (参照:MS Patch Tuesday whopper: 28 vulnerabilities in Windows, IE, Office

 この脆弱性は、匿名で攻撃可能なものではない。Microsoftの説明によれば、攻撃者がこの脆弱性を突くためには、認証を受けるか、認証を受けることができるウェブアプリケーションのSQLインジェクションの脆弱性を利用する必要がある。

 この問題があるかどうかをテストするための、T-SQLスクリプトが提供されている。パッチがまだ提供されていないため、MicrosoftはSQL Serverの管理者に対し、sp_replwritetovarbin 拡張ストアド プロシージャのアクセスを拒否することを推奨している。詳細については、Microsoftのアドバイザリを参照して欲しい。

この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

Special PR

特集

CIO

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]