Biztonsági hibák egyes, Microsoft fejlesztette szoftverkomponensben

Az MDAC tulajdonképpen egy olyan komponensgyűjtemény, mely elemeit adatbázis műveleteknél használnak. Amikor egy hálózati kliens megpróbálja az SQL Servert futtató számítógépek listáját lekérni, elküld egy kérelmet minden hálózati eszköznek. Egy támadó azonban felhasználhatja ezt arra, hogy puffertúlcsordulást okozzon: egy speciális MDAC komponens miatt ugyanis egy – bizonyos feltételeknek megfelelően kialakított – csomag válaszként való elküldésével elérhető a fenti túlcsordulásos hiba.

Amennyiben sikerült kihasználni a sebezhetőséget, akkor a támadó a célrendszer felett olyan jogot szerezhet, amilyet a kérelmet elindító program birtokolt. Ennek értelmében lehet, hogy csak limitált lehetőségek állnak a behatoló rendelkezésére, de akár az egész rendszer felett is átveheti az ellenőrzést.

A Microsoft kiadott egy eszközt is, mellyel meghatározható, hogy az MDAC milyen változata található a rendszerben – akit érint a probléma, de nincsen információja erről, annak érdemes beszereznie.

Érintett komponensek

– Microsoft Data Access Components 2.5 (Microsoft Windows 2000)
– Microsoft Data Access Components 2.6 (Microsoft SQL Server 2000)
– Microsoft Data Access Components 2.7 (Microsoft Windows XP)
– Microsoft Data Access Components 2.8 (Microsoft Windows Server 2003/64 bit Edition)