Vulnerabilitate zero-day în Microsoft SQL Server

Microsoft a dezvăluit o vulnerabilitate de tip zero-day în SQL Server, care permite atacatorilor autentificați să-și extindă privilegiile la cel mai înalt nivel administrativ pe sistemele de baze de date afectate.

Identificată ca CVE-2026-21262, vulnerabilitatea provine dintr-o eroare privind controlul necorespunzător al accesului (CWE-284) în cadrul Microsoft SQL Server, permițând unui atacator autorizat să-și extindă privilegiile într-o rețea.

Vulnerabilitatea prezintă un scor CvSS de 8.8/10 și un grad de severitate imporant. Vectorul de atac este bazat pe rețea, cu complexitate redusă, necesită doar privilegii de nivel scăzut pentru a fi inițiat și nu necesită interacțiunea utilizatorului.

Impactul se extinde asupra tuturor celor trei dimensiuni critice de securitate: confidențialitate, integritate și disponibilitate, toate evaluate ca fiind ridicate, ceea ce face ca această vulnerabilitate să fie deosebit de periculoasă în medii cu date sensibile.

Un atacator autentificat, care are acces legitim la sistem printr-un cont cu anumite drepturi, poate exploata această vulnerabilitate prin autentificarea în instanța SQL Server și prin exploatarea unui mecanism de control al accesului implementat necorespunzător,, reușind astfel să își escaladeze privilegiile până la nivelul sysadmin.

Acest tip de atac de escaladare a privilegiilor este deosebit de periculos în mediile cu mai mulți utilizatori sau cu baze de date partajate, unde utilizatorii cu privilegii reduse pot avea deja acces legitim.

Microsoft a lansat actualizări de securitate pentru SQL Server 2016 până la noul SQL Server 2025. Administratorii trebuie să identifice versiunea actuală și să aplice patch-ul GDR sau actualizarea cumulativă (CU) corespunzătoare. Actualizările cheie includ:

• SQL Server 2025: KB updates 5077466 (CU2+GDR) and 5077468 (RTM+GDR);
• SQL Server 2022: KB updates 5077464 (CU23+GDR) and 5077465 (RTM+GDR);
• SQL Server 2019: KB updates 5077469 (CU32+GDR) and 5077470 (RTM+GDR);
• SQL Server 2017: KB updates 5077471 and 5077472;
• SQL Server 2016: KB updates 5077473 and 5077474;

Instanțele SQL Server găzduite pe Windows Azure (IaaS) pot primi actualizări prin Microsoft Update sau prin descărcare manuală din Microsoft Download Center.

Se recomandă cu tărie aplicarea celor mai recente actualizări de securitate disponibile.

Sursă: https://cybersecuritynews.com/microsoft-sql-server-zero-day-vulnerability/