Sécurité : Découverte d'une faille dans Microsoft SQLServer
Permettant d'obtenir les mots de passe des utilisateurs
Le 2009-09-04 05:40:48, par Katleen Erna, Expert éminent sénior
Sécurité : Découverte d'une faille dans l'outil de gestion Microsoft SQLServer 2000, 2005 et 2008 permettant d'obtenir les mots de passe des utilisateurs
La société de sécurité californienne Sentrigo a découvert qu'une faille de sécurité avait pris ses quartiers dans le logiciel SQL Server 2008 de Microsoft. Il apparaît ainsi qu'un utilisateur disposant des droits d'administration sur le serveur serait en mesure d'afficher les mots de passe de tous les autres utilisateurs. Ces derniers sont sauvegardés dans la base de donnée et devraient normalement l'être sous une forme crytpée. En cause, la chaîne dédiée aux mots de passe qui serait clairement visible. Un administrateur peut normalement modifier un mot de passe n'étant pas le sien, mais il ne devrait pas être en mesure de le lire. Les sites basés sur un serveur SQL 200, 2005 et 2008 seraient vulnérables à cette faille.
Source : Les conclusions de Sentrigo
La société de sécurité californienne Sentrigo a découvert qu'une faille de sécurité avait pris ses quartiers dans le logiciel SQL Server 2008 de Microsoft. Il apparaît ainsi qu'un utilisateur disposant des droits d'administration sur le serveur serait en mesure d'afficher les mots de passe de tous les autres utilisateurs. Ces derniers sont sauvegardés dans la base de donnée et devraient normalement l'être sous une forme crytpée. En cause, la chaîne dédiée aux mots de passe qui serait clairement visible. Un administrateur peut normalement modifier un mot de passe n'étant pas le sien, mais il ne devrait pas être en mesure de le lire. Les sites basés sur un serveur SQL 200, 2005 et 2008 seraient vulnérables à cette faille.
Source : Les conclusions de Sentrigo
-
Emmanuel LecoesterMembre expertSeuls les systèmes utilisant un authentification mixte ("SQL Server and Windows Authentication Mode"
sont exposées à cette faille.
La faille existe sur SQL Server 2000, SQL Server 2005, and SQL Server 2008 quelque soit la version de Windows.le 04/09/2009 à 7:07 -
sevyc64ModérateurOn parle très probablement ici des mots de passe des utilisateurs SQL, qui n'ont rien à voir avec les utilisateurs Windows.
Ces mots de passe là, c'est généralement l'administrateur SQL qui les fixe en créant les utilisateurs, alors qu'il puisse les voir ne doit pas être si dramatique que ça.
Reste à savoir si d'autres user avec des droits restreints peuvent aussi arriver à les voir, là, ça pourrait peut-etre poser plus de problèmes.le 04/09/2009 à 8:49 -
B.AFMembre chevronnéSentrigo, Inc., the innovator in database security software, today announced that it has discovered a significant vulnerability in Microsoft SQL Server
Quelle horreur, un DBA qui peut voir les mots de passe des users !le 04/09/2009 à 9:41 -
sidevMembre du ClubBien que cette faille ne soit pas trop critique, du fait que c'est l'administrateur qui a accès au mot de passe, il est quand même dangereux, de voir qu'un admin peut se servir de votre mot de passe pour faire n'importe quoi.le 04/09/2009 à 10:20
-
jeffray03Membre chevronnéa quoi cela servirait alors qu´il soit administrateur sans le pouvoir de modifier vos coordonnées de login. Il ya differentes manieres de sauvegarder les mots de passes, mais l´administrateur a toujours acces a ceux-la, donc moi je ne vois pas ou se trouve le probleme.le 04/09/2009 à 11:50
-
GrandFatherExpert éminentC'est un principe de base de la sécurité informatique : un administrateur d'un système doit avoir la main sur la gestion des mots de passe des utilisateurs (les invalider, etc.), mais il n'a pas à les connaître. Etant donné que la grosse majorité des utilisateurs emploient par commodité le même mot de passe pour accéder à différents systèmes, la moindre violation de confidentialité le rendrait immédiatement suspect.
Il est évident que ce principe est loin d'être respecté en toutes circonstances, mais dans le cas d'un SGBDR il le devrait...le 04/09/2009 à 12:31 -
AntacidNouveau membre du ClubEffectivement. C'est là que le bas blesse, comme on dit. Je serais curieux de voir quel pourcentage des utilisateurs utilisent un seul mot de passe pour toutes leurs applications!le 04/09/2009 à 13:52
-
cf1020Membre du ClubSe ne sont que les mots de passe des utilisateurs du serveur SQL Server, parce que les mots de passe Windows sont gardés dans l'Active Directoryle 04/09/2009 à 14:37
-
Ouais, c'est pas bien, on est d'accord.
Ce n'est tout de même pas dramatique, la portée reste limitée.
Mais j'ai déjà travaillé sur une application livrée avec les mots de passe en clair dans la table Users... Ça fait pas très sérieux...le 04/09/2009 à 15:52 -
cherkaoui.j.eMembre actifc'est pas une faille mais une fonctionnalité.le 04/09/2009 à 16:05