Week 10
Microsoft julkaisi tietoturvakonsultoinnin myöhään maanantaina ja ilmoitti, että vikaa voitaisiin käyttää hyväksi luvattoman ohjelmiston käyttämiseen järjestelmissä, joissa on Microsoft SQL Server -versioita 2000 ja SQL Server 2005.
Hyökkäyskoodi, joka käyttää vikaa, on julkaistu, mutta Microsoft ilmoitti, että se ei ole vielä nähnyt tätä koodia online-hyökkäyksissä. Tietokantapalvelimia voidaan hyökätä tämän virheen avulla, jos rikolliset löytävät jotain keinoa kirjautua järjestelmään ja Web-sovelluksia, jotka ovat kärsineet suhteellisen tavanomaisista SQL-injektiovirheistä, voitaisiin käyttää hyppykiviin hyökkäämään taustatietokantaan.
[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]
Microsoft SQL Server 2000 Desktop Engine tai SQL Server 2005 Express -käyttöjärjestelmää käyttävät pöytätietokoneet voivat olla joissakin olosuhteissa vaarassa. tallennetussa menettelyssä nimeltä "sp_replwritetovarbin", jota Microsoftin ohjelmisto käyttää, kun se replikoi tietokannan liiketoimet."Järjestelmät, joissa on Microsoft SQL Server 7.0 Service Pack 4, Microsoft SQL Server 2005 Service Pack 3 ja Microsoft SQL Server -ohjelmistopaketti Tämä ongelma ei vaikuta Server 2008: een, "Microsoft sanoi neuvonnassaan.
Tämä on kolmas vakava virhe Microsoftin ohjelmistossa julkistettavaksi viime kuussa, mutta sitä ei todennäköisesti käytetä laajoihin hyökkäyksiin, kuten Marc Maiffret, asiantuntijapalvelujen johtaja, tietoturvakonsultti DigiTrust-konserni. "Se on melko pieni riski, kun otetaan huomioon muut haavoittuvuudet", hän sanoi pikaviestinä. "On olemassa paljon parempia tapoja estää Windows-järjestelmät tällä hetkellä."
Kun Internet Explorerin virhe havaittiin yhä useammissa verkkohyökkäyksissä, Microsoft ryntäsi kiireellistä korjaustiedostoa viime keskiviikkona. Yhtiö sanoo, että se on myös nähnyt "rajalliset ja kohdennetut hyökkäykset", jotka käyttävät Word 97 -tiedostojen WordPad Text Converter -ohjelman vakavaa vikaa. Kuten SQL-bugissa, tämä WordPad-muunnin -haavoittuvuus ei ole patsautettu, mutta se on ensisijainen ehdokas, joka on tarkoitus korjata Microsoftin tulevissa 13. tammikuuta julkaisemissa tietoturvapäivityksissä.
Tiistaina julkaistiin SQL Azure -teknologian esikatselut, Azure-pilvipohjaisen infrastruktuurin alustan tietokanta ja SQL Server StreamInsight ja sen pääsy CEP (complex event processing) areenalle.
Lisäksi ilmoitettiin SQL Server -ohjain, joka tarjoaa Azure-tuen PHP: lle (hypertekstin esiprosessori), joka on suosittu kieli verkkosovellusten kehittäjien keskuudessa. MSDN- ja Technet-tilaajat pääsivät esikatseluun tiistaina; ne ovat yleensä käytettävissä keskiviikkona.
Microsoft varoittaa koodivastauksesta, Plurk sanoo
Plurk tutkii kaikki vaihtoehdot, mukaan lukien oikeusjuttu Microsoftia vastaan, kun ohjelmisto jättiläinen pyysi anteeksi Juku-ohjelmistokoodin varastamisesta.
Symantec varoittaa haittaohjelmista, jotka kohdistuvat SQL-tietokantoihin
Symantec on havainnut toisen epätavallisen haittaohjelman, joka näyttää kohdistuvan Iraniin ja joka on suunniteltu häiritsemään SQL-tietokantoja.