Avis du CERT-FR

Description

Microsoft MDAC (Microsoft Data Access Components) fournit des fonctions pour exploiter une base de données Microsoft SQL Server. Un utilisateur mal intentionné peut envoyer une requête mal formée à ce module qui provoque un débordement de mémoire tampon conduisant, dans certains cas, à l'exécution de code arbitraitre sur le serveur. Ce code sera exécuté avec les privilèges de l'application SQL Server. Dans le cas d'une installation standard, il s'agira des droits d'un utilisateur du domaine. L'utilisateur mal intentionné pourra, entre autre, modifier, ajouter et effacer des données dans la base.

Le module MDAC est fourni dans de nombreuses applications de Microsoft Windows mais seuls les serveurs SQL sont vulnérables.

Pour connaitre la version de MDAC installée sur votre système, examinez la clé suivante dans la base de registre de votre serveur :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DataAccess.

La clé FullInstallVer vous fournit une valeur de type x.xx.yyyy.y où x.xx correspond à la version de MDAC installée.

Solution

Installez le correctif correspondant à votre version de MDAC. Ce correctif est disponible en téléchargement sur le site Web de Microsoft (cf la section Documentation).