Pilote Microsoft ODBC- CVE-2023-29356

Date de publication :

ODBC est une API d’accès aux données permettant une interconnexion avec des SGBD.

Une erreur dans le pilote Microsoft ODBC permet à un attaquant, en persuadant un utilisateur authentifié de se connecter à un serveur SQL spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2023-29356

[Score CVSS v3.1: 7.8]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Oui

Risques

Exécution de code arbitraire (à distance)

Exploitation

La vulnérabilité exploitée est du type

En cours de recherche

Détails sur l'exploitation

  • Vecteur d'attaque : Local

  • Complexité de l'attaque : Faible

  • Privilèges nécessaires pour réaliser l'attaque : Aucun

  • Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui

  • L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept

Actuellement, aucune preuve de concept n’est disponible en sources ouvertes.

Systèmes ou composants affectés

Produits Microsoft affectés

Pilote Microsoft ODBC 18 pour SQL Server sur MacOS

Pilote Microsoft ODBC 17 pour SQL Server sur MacOS

Pilote Microsoft ODBC 18 pour SQL Server sous Windows

Pilote Microsoft ODBC 17 pour SQL Server sous Windows

Pilote Microsoft ODBC 18 pour SQL Server sous Linux

Pilote Microsoft ODBC 17 pour SQL Server sous Linux

Microsoft SQL Server 2019 pour les systèmes x64 (CU 21)

Microsoft SQL Server 2022 pour les systèmes x64 (CU 5)

Contournement provisoire

  • Une mesure de contournement existe : limitation des connexions aux serveurs connus et approuvés (chiffrement TLS avec validation de certificat).
  • Blocage des connexions ne répondant pas à ce critère.

Solutions ou recommandations

Appliquer les correctifs suivants :

Des informations complémentaires sont disponibles dans le bulletin publié par Microsoft.

Liens