Version imprimable
Bonjour
Je suis amené à rechercher les différentes failles de SQl server. En cherchant sur le net, j'ai déja trouvé les failles suivantes :
- User SA sans password par défaut
- Pas de bloquage après plusieurs mots de passe faux
- Les roles et les utilisateurs ne sont pas copiés lors de la copie d'un DB
- Risque de deni de service en provoquand un bufferoverflow sur certains tubes
Est-ce que vous connaissez d'autres failles pour SQl server ?
Merci
Tout dépend de la version de MS SQL Server que vous décrivez : 2000 ou 2005.
Pas une faille. Un comportement normal prévu par la norme SQL.Citation:
User SA sans password par défaut
De plus, en mode d'authentification purement Windows (non conforme à la norme SQL) le mode de gestion des mots de passe est celui de windows, donc blocage, etc...
Pas une faille. Un comportement normal prévu par la norme SQL.Citation:
Pas de bloquage après plusieurs mots de passe faux
De plus, en mode d'authentification purement Windows (non conforme à la norme SQL) le mode de gestion des mots de passe est celui de windows, donc blocage, etc...
Faux. Les rôles, utilisateurs SQL et privilèges sont dans la base de données. En revanche la connexion au serveur (c'est à dire la mappage d'un utilisateur avec son authentification est enregistrée dans la base master. C'est normal puisque l'on s'autenthifie à un serveur et non à une base : respect de la norme SQL).Citation:
Les roles et les utilisateurs ne sont pas copiés lors de la copie d'un DB
Là je ne sais pas de quoi vous parlez... Mais les failles SQL Server sont peu nombreuses et les patch correctifs ont erradiqué la plupart des petits bugs.Citation:
Risque de deni de service en provoquand un bufferoverflow sur certains tubes
Seul à ma connaissance persiste un bug lié à l'utilisation de l'hyper threading mais impossible à éradiquer car il dépend d'Intel...
A +
Pouvez-vous nous en dire un peu plus sur l'hyper threading ?Citation:
Envoyé par SQLpro
Personnellement, je n'en sais rien
Arf, moi je demandais des failles et on demonte les seules que j'ai trouvées :lol:
Je parle de 2005, désolé de ne pas l'avoir dit :oops:
C'est peut-être vrai que le terme faille n'est pas le mieux choisi en effet. Mais ca peut rester un problème de sécurité si on ne pense pas à le corriger.Citation:
Pas une faille. Un comportement normal prévu par la norme SQL.
De plus, en mode d'authentification purement Windows (non conforme à la norme SQL) le mode de gestion des mots de passe est celui de windows, donc blocage, etc...
Pour ce qui est du bufferoverflow, c'est aussi corrigé par un patch, mais ca reste une faille quand meme pour ceux qui n'ont pas appliqués le patch.
Merci pour le bug avec l'hyper-Threading.
Sinon, en considérant que des problèmes tels que le user SA est une faille, connaissez-vous d'autres "failles" ?
Merci
Dans 2005 le problème du user SA n'est même plus un faille puisque vous pouvez le supprimer (le user sa) ou le modifier.
De plus MS délivre avec la v 2005 un outil de configuration de la surface d'exposition de MS SQL Server, et par défaut tout est fermé :
- accès aux commandes OS
- accès aux objets Ole
- accès à la CLR
- police de mot de passe impérative
...
etc.
Enfin, un outil gratuit, disponible dur le net (site ms) permet de faire un check up des "best pratices" pour connaître les préconisation en terme de sécurité et de performances de ce qui est des serveurs SQL, OS, IIS, etc...
A +