Más parches para SQL Server

Desde hace semanas no paran de aparecer noticias sobre vulnerabilidades de SQL Server y sus correspondientes parches. Esta noticia, publicada por Hispasec es una muestra de ello.

Microsoft ha publicado un parche para cubrir dos nuevas vulnerabilidades que afectan a SQL Server 2000 y MSDE 2000:

Un desbordamiento de búfer que se produce en múltiples Consistency Checkers (DBCCs) incluidos como parte de SQL Server 2000. Los DBCCs son utilidades en forma de comando de consola que permiten el mantenimiento y la realización de otras operaciones en el servidor SQL. Mientras que muchas de estas sólo pueden ser ejecutadas por sysadmin, algunas pueden ser ejecutadas por los miembros de db_owner y db_ddladmin. En el caso más serio, si un atacante logra explotar esta vulnerabilidad podrá lograr la ejecución de código en el contexto del servicio SQL Server.

Existe una vulnerabilidad de inyección SQL en dos procedimientos almacenados empleados en la replicación de bases de datos. Uno de estos procedimientos sólo puede ser ejecutado por los usuarios pertenecientes a db_owner; mientras que el otro, debido a un error en la asignación de permisos, podrá ser ejecutado por cualquier usuario que pueda acceder a la consola del sistema de forma interactiva. Si un atacante logra explotar esta vulnerabilidad podrá lograr la ejecución de comandos del sistema operativo en el servidor.

Este parche se encuentra disponible en varios idiomas y puede descargarse desde:
http://support.microsoft.com/support/misc/kblookup.asp?id=Q316333

Más información:

Boletín de seguridad Microsoft MS02-038
Cumulative Patch for SQL Server 2000 Service Pack 2
http://www.microsoft.com/technet/security/bulletin/MS02-038.asp