-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden verholpen in Microsoft Windows SQL Server
Advisory ID : NCSC-2024-0281
Versie : 1.00
Kans : medium
CVE ID : CVE-2024-20701, CVE-2024-21303, CVE-2024-21308,
CVE-2024-21317, CVE-2024-21331, CVE-2024-21332,
CVE-2024-21333, CVE-2024-21335, CVE-2024-21373,
CVE-2024-21398, CVE-2024-21414, CVE-2024-21415,
CVE-2024-21425, CVE-2024-21428, CVE-2024-21449,
CVE-2024-28928, CVE-2024-35256, CVE-2024-35271,
CVE-2024-35272, CVE-2024-37318, CVE-2024-37319,
CVE-2024-37320, CVE-2024-37321, CVE-2024-37322,
CVE-2024-37323, CVE-2024-37324, CVE-2024-37326,
CVE-2024-37327, CVE-2024-37328, CVE-2024-37329,
CVE-2024-37330, CVE-2024-37331, CVE-2024-37332,
CVE-2024-37333, CVE-2024-37334, CVE-2024-37336,
CVE-2024-38087, CVE-2024-38088
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: https://cve.mitre.org/cve/)
Schade : high
Double Free
Integer Overflow or Wraparound
Stack-based Buffer Overflow
Heap-based Buffer Overflow
Use After Free
Uitgiftedatum : 20240709
Toepassing : microsoft microsoft_ole_db_driver_18_for_sql_server
microsoft microsoft_ole_db_driver_19_for_sql_server
microsoft
microsoft_sql_server_2016_service_pack_3__gdr_
microsoft microsoft_sql_server_2016_service_pack_3_azu
re_connect_feature_pack
microsoft microsoft_sql_server_2017__cu_31_
microsoft microsoft_sql_server_2017__gdr_
microsoft microsoft_sql_server_2019__gdr_
microsoft microsoft_sql_server_2019_for_x64-
based_systems__cu_27_
microsoft microsoft_sql_server_2022__gdr_
microsoft microsoft_sql_server_2022_for__cu_13_
microsoft sql_server
Versie(s) :
Platform(s) :
Beschrijving
Microsoft heeft kwetsbaarheden verholpen in Windows SQL Server.
De kwetsbaarheden bevinden zich in de Native Client van SQL Server en
stellen een kwaadwillende in staat om willekeurige code uit te voeren
in de context van het slachtoffer en zo mogelijk toegang krijgen tot
gevoelige gegevens in Database-omgevingen waar het slachtoffer
toegang toe heeft.
Voor succesvol misbruik moet de kwaadwillende het slachtoffer
misleiden om contact te maken met een SQL server onder controle van
de kwaadwillende.
```
SQL Server:
|----------------|------|-------------------------------------|
| CVE-ID | CVSS | Impact |
|----------------|------|-------------------------------------|
| CVE-2024-38088 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-38087 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21332 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21333 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21335 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21373 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21398 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21414 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21415 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21428 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37318 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37332 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37331 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-35271 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-35272 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-20701 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21303 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21308 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21317 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21331 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21425 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37319 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37320 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37321 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37322 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37323 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37324 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-21449 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37326 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37327 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37328 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37329 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37330 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37334 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37333 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-37336 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-28928 | 8.80 | Uitvoeren van willekeurige code |
| CVE-2024-35256 | 8.80 | Uitvoeren van willekeurige code |
|----------------|------|-------------------------------------|
```
Mogelijke oplossingen
Microsoft heeft updates beschikbaar gesteld waarmee de beschreven
kwetsbaarheden worden verholpen. We raden u aan om deze updates te
installeren. Meer informatie over de kwetsbaarheden, de installatie
van de updates en eventuele work-arounds vindt u op:
https://portal.msrc.microsoft.com/en-us/security-guidance
Referenties:
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----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=Is88
-----END PGP SIGNATURE-----
