Status Tracking Note JVNTR-2008-09

Microsoft SQL Server の sp_replwritetovarbin 拡張ストアド プロシージャの処理における脆弱性

概要

Microsoft SQL Server の sp_replwritetovarbin 拡張ストアド プロシージャのパラメータ処理に脆弱性が存在します。
時系列イベント


日時 (JST)内容
2009-02-12 13:35 IPA/ISEC
マイクロソフト SQL Server の脆弱性(MS09-004)について
2009-02-11 06:11 マイクロソフト
マイクロソフト セキュリティ アドバイザリ (961040): SQL Server の脆弱性により、リモートでコードが実行される
SQL Server の sp_replwritetovarbin の制限付きメモリの上書きの脆弱性 (MS09-004, CVE-2008-5416)
マイクロソフトは脆弱性について公開された報告の調査を完了し、この問題に対処するためにMS09-004を公開した。
2008-12-25 08:10 ITmedia
すべての製品に:MS、SQL Server攻撃回避のスクリプト公開
Microsoftは脆弱性のあるすべてのSQL Serverに回避措置を適用できるVBスクリプトの提供を始めた。
2008-12-24 08:22 ITmedia
エクスプロイトコードも公開:SQL Serverに未解決の脆弱性
MicrosoftのSQL Serverにリモートからコードを実行させる脆弱性が見つかった。
2008-12-24 07:50 シマンテック
ThreatCON (2) => (1)
2008年12月9日に報告された SQL Server の脆弱性に関するアドバイザリ発行を報告
2008-12-23 23:13 SANS Internet Storm Center
MS ACK's Vulnerability in SQL Server which Could Allow Remote Code Execution
According to published reports, the vulnerability was reported to Microsoft in April and "a fix for this vulnerability has been completed", but there's no patch release date mentioned at this time. Exploit code is available.
2008-12-23 21:29 US-CERT
Microsoft Releases Security Advisory (961040)
US-CERT Current Activity として SQL Server のアドバイザリ公開を報告
2008-12-23 13:51 Microsoft Security Response Center Blog
Tuesday 12/23 Update: Microsoft Security Advisory 961040
2008-12-23 12:52 @police
SQL Server の脆弱性について(12/23)
2008-12-23 11:28 マイクロソフト
マイクロソフト セキュリティ アドバイザリ (961040): SQL Server の脆弱性により、リモートでコードが実行される
アドバイザリを公開
Microsoft SQL Server 2000 SP4、Microsoft SQL Server 2005、Microsoft SQL Server 2005 Express Edition、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)、Microsoft SQL Server 2000 Desktop Engine (WMSDE) および Windows Internal Database (WYukon) のシステムのリモートでコードが実行される脆弱性について調査中
2008-12-22 12:34 Microsoft Security Response Center Blog
Microsoft Security Advisory 961040
2008-12-17 Bugtraq
Microsoft SQL Server sp_replwritetovarbin() Heap Overflow Exploit
sp_replwritetovarbin パラメータ処理に脆弱性 (CVE-2008-4270)
#Cid: 32710.html
#Tested: Windows 2000 SP4 + SQL Server 2000
#Tested: cpe:/o:microsoft:windows_2000::sp4 + cpe:/a:microsoft:sql_server:2000
2008-12-09 21:16 Bugtraq
Microsoft SQL Server sp_replwritetovarbin limited memory overwrite vulnerability
sp_replwritetovarbin パラメータ処理に脆弱性 (CVE-2008-4270)
#Cid: 32710.sql
#Tested: SQL Server 2000
#Tested: SQL Server 2005
#Tested: cpe:/a:microsoft:sql_server:2000
#Tested: cpe:/a:microsoft:sql_server:2005
2008-04-17 SEC Consult
SA-20081209: Microsoft SQL Server sp_replwritetovarbin limited memory overwrite vulnerability
脆弱性をベンダに報告

参考情報

登録日 (JST): 2008-12-28T18:09+09:00
更新日 (JST): 2009-02-14T11:51+09:00