Microsoft SQL Server lekt wachtwoorden

binaire code

Gepubliceerd: Donderdag 3 september 2009

Een lek in Microsoft SQL Server laat gebruikers met administrator rechten de onversleutelde wachtwoorden zien van andere gebruikers. Microsoft is niet van plan om het lek op korte termijn te dichten.

Toon volledig artikel

linus4ever op Donderdag 3 September 2009 11:33

image

Microsoft is niet van plan om het lek op korte termijn te dichten.

Tsja, opo een gegeven moment geef je het op he? Het maakt dan ook niet meer uit, je hebt al het geld toch al. ;-))

  • -6 / 20

RobP op Donderdag 3 September 2009 11:44

image

Troll alert

  • -2 / 16

Lady Gaga op Donderdag 3 September 2009 12:22

image

Dus jij vindt dat normaal blijkbaar?
Compleet murw door die continue stroom aan MS-stommiteiten?

Wat een amateurtjes toch!

  • -5 / 13

globetrotter op Donderdag 3 September 2009 13:38

image

Maar als hij ontploft is het wel goed?

Zonder flauwekul, het hoort niet zo te zijn dat de wachtwoorden zichtbaar zijn.
Grote bedrijven die aan SOX doen hebben waarschijnlijk een veiligheidsprobleem.
Maar de meeste SQL installaties hebben Windows Authentication, denk ik.
Ik verwacht dat het gerepareerd wordt in een volgend servicepack.

  • 6 / 8

Anonymous Coward op Donderdag 3 September 2009 14:04

image

ho ho, dat lag aan de gebruiker, dat vertelde Apple zelf en die hebben altijd gelijk!

De iPlof heeft hij tenslotte zelf gekocht, eigen schuld dus ;)

  • -1 / 13

vinylat45 op Donderdag 3 September 2009 14:39

image

Het is iSplosion!

(iPhone maakt indruk)

  • -5 / 9

Anonymous Coward op Donderdag 3 September 2009 15:11

image

Een erg kinderachtig filmpje.. past wel bij je.

Lees vooral ook de reacties, deze bijv:

spot er maar mee mijn 3 weken oude 3 GS van de week afgegeven bij t-mobile shop, ik had telefoon in lader gedaan en liep weg toen me dochtertje begin te gillen ik rende terug en ding was aan knetteren en roken direct stekker uit stop contact getrokken maar was helaas te laat iPhone helemaal dood, je moet er toch niet aan denken dat die op je nachtkastje ligt op te laden en dan te laat wakker wordt omdat de boel in de fik staat en nee heb geen jailbreak of what ever maar het wordt toch steeds enger

  • -4 / 10

anonymous_118315 op Donderdag 3 September 2009 23:39

image

Figureren die alleen maar beledigen moeten iets anders gaan zoeken!

  • 0 / 6

vinylat45 op Donderdag 3 September 2009 23:48

image

Jeetje SED, het was zelfs een filmpje over dat de iPhone poef deed.

Leek me in jouw straatje.

Ben blij dat je niet van filmpjes houdt over ontploffende iPhones.

  • -1 / 5

anonymous_118315 op Zondag 6 September 2009 00:28

image

Dezelfde persoon waarvan SED het 'verschrikkelijke' verhaal aanhaalt houdt zelf klaarblijkelijk van iets meer nuance dan 'onze vriend' SED.
... want de oorzaak kan dus ook de lader zijn ...Maar dat past natuurlijk iets minder in het straatje... :)

  • -1 / 1

Anonymous Coward op Zondag 6 September 2009 00:31

image

hee een oude koeien visser, verveel je jezelf zo erg ;)
Kom op Petertje, je kunt beter dan dit..

  • 0 / 0

Lady Gaga op Donderdag 3 September 2009 21:01

image

Moest ie echt ontploffen dan heb je gelijk, maar het gaat hier niet over de iPhone.

Maar OK eerst jullie zoveelste FUD-poging eens makkelijk weerleggen:
1) de iPhone ontploft duidelijk niet (MS-media blazen dit maar al te graag op en de onwetende resthoop is er mee weg)
2) is op zijn minst gerelateerd met onoordeelkundig gebruik (onderzoek Apple)
3) 17 op 47.000.000 : aan die verhouding moet iedere (Philips)gloeilamp elk huis uit.

Wat het echte onderwerp betreft:
Een admin kan hier makkelijk het password achterhalen van een andere admin.

KLEINE SECURITY-AMATEURTJES zijn het bij MS.

De kleren van de keizer vallen keer op keer af, maar doe gerust verder hoor. Jullie storen niemand, toch niemand die het echt iets kan schelen...!

  • -2 / 8

Kaiser Söze op Donderdag 3 September 2009 21:16

image

Wat een amateurtjes toch!

Troll alert II

  • -1 / 7

Lady Gaga op Donderdag 3 September 2009 23:08

image

Troll-troll-allert, want de passwords liggen hier weldegelijk voor het grijpen.
Begin jij maar weeral rap over iets anders, de feiten zijn er... ;-)

  • -2 / 6

Anonymous Coward op Donderdag 3 September 2009 11:44

image

dit type ""lek"" lijkt me ook niet echt dringend. Een admin heeft nu eenmaal veel rechten en daar hoort hij zorgvuldig mee om te gaan. Men geeft daarmee tevens aan het wel op te lossen maar mogelijk zal dat pas bij een service pack gebeuren.

Dus je reactie gaat nergens over...

  • 0 / 16

Rinzwind op Donderdag 3 September 2009 11:55

image

Ben ik het wel mee eens. Het lijkt me trouwens dat het verhaal een echt commentaar van MS hoort te bevatten. We krijgen nu een commentaar uit naam van MS waarbij diegene die het verteld er baat bij heeft dit commentaar op een dusdanige manier te brengen dat het als idioot bestempeld kan worden.

Er zijn ergere dingen dan een wachtwoord dat zichtbaar is voor mede-admins. MySQL doet dit trouwens ook zo: wachtwoorden vanaf commandline worden plain tekst in log files gezet ondanks dat ze encrypted worden opgeslagen (maar daar wordt ook goed voor gewaarschuwd ;) )

Nee, als het van buiten af zichtbaar zou zijn zouden alle alarmbellen moeten afgaan. Maar dit komt wel een keer :)

Is hetzelfde als de bug in Ubuntu waarbij het wachtwoord tijdens installatie werd opgeslagen in een bestand dat niet achteraf werd verwijderd. Ernstig maar niet bedreigend voor het systeem.

  • 4 / 8

MvO op Donderdag 3 September 2009 12:11

image

Een admin heeft vaak ook rechten om wachtwoorden te resetten (en een eigen waarde in te voeren). Dan moet je dat ook als risico beschouwen :)

  • 1 / 7

Vincentlaborant op Donderdag 3 September 2009 12:27

image

Je moet gewoon zorgen dat je administrator account goed beveiligd is tegen externe bedreigingen, en ook tegen interne bedreigingen (incompetentie van de beheerder).

  • 7 / 7

Kaiser Söze op Donderdag 3 September 2009 21:18

image

en ook tegen interne bedreigingen (incompetentie van de beheerder).

Uiteindelijk is er intern altijd iemand met de hoogste rechten en die kan nagenoeg doen wat hij wil. Wat valt er nog te beveiligen als je je eigen administrator niet kunt vertrouwen???

  • 0 / 4

vinylat45 op Donderdag 3 September 2009 13:58

image

Een admin heeft nu eenmaal veel rechten en daar hoort hij zorgvuldig mee om te gaan.
Als de admin elk wachtwoord kan sniffen (in plain text notabene), dan kan hij dit misbruiken vanaf een andere lokatie en zo onopgemerkt blijven.

Dus als een admin ontslagen wordt, moet eigenlijk iedere gebruiker zijn wachtwoord veranderen. Verre van ideaal.

MS moet dit gewoon fixen.

  • 3 / 9

globetrotter op Donderdag 3 September 2009 14:21

image

Dus als een admin ontslagen wordt, moet eigenlijk iedere gebruiker zijn wachtwoord veranderen. Verre van ideaal.

Daar ben ik het wel mee eens.

Maar een systeembeheerder weet op zich al veel wachtwoorden van gebruikers, doordat die een probleem heeft moeten oplossen voor die gebruiker en die gebruiker daarna zijn wachtwoord niet veranderde.
Ook kom je nog veel gele briefjes en onbeveiligde word documentjes tegen met wachtwoorden erin.

  • 0 / 6

Caesar Tjalbo op Donderdag 3 September 2009 14:50

image

Dit zijn slechte smoezen. Je suggereert dat een systeembeheerder wachtwoorden aan gebruikers moet vragen om een probleem op te lossen, wat ik wat raar vind maar vooruit. En verder dat er gebruik wordt gemaakt van onveilige constructies door gebruikers. Kortom een erg losse aanpak, om het vriendelijk te zeggen.

Het artikel gaat over een dubieuze 'feature' van de software, dus iets waar een organisatie die z'n zaken wel heel strak op orde heeft ook nog eens rekening mee moet gaan houden.

  • 4 / 6

globetrotter op Donderdag 3 September 2009 17:46

image

Het komt regelmatig voor dat een supportmedewerker iets op moet lossen als de gebruiker afwezig is (in vergadering, vrij, etc) en dan krijgt de supportmedewerker toch echt wel het wachtwoord van die gebruiker.

Dat jij dat raar vind, vind ik dan weer raar.

Dat het logischerwijze niet veilig is, dat ben ik met je eens.

  • 1 / 5

Kaiser Söze op Donderdag 3 September 2009 21:20

image

Als de admin elk wachtwoord kan sniffen (in plain text notabene), dan kan hij dit misbruiken vanaf een andere lokatie en zo onopgemerkt blijven.

Een admin kan een user aanmaken, zijn dingetje doen, de user weer weghalen en de logfiles wissen. Een foute admin die het systeem goed kent kan zijn sporen echt wel uitwissen, op welk systeem en op welk OS dan ook.

  • 1 / 5

vinylat45 op Donderdag 3 September 2009 23:51

image

Een admin kan een user aanmaken, zijn dingetje doen, de user weer weghalen en de logfiles wissen. Een foute admin die het systeem goed kent kan zijn sporen echt wel uitwissen, op welk systeem en op welk OS dan ook.

Dat is incorrect. De user die de admin aanmaakt, al een ander ID hebben, tevens is de hash van het wachtwoord niet hetzelfde, indien het systeem correct functioneert (nvt hier dus).

Neem bijv. SE Linux, daar zijn jouw gesuggereerde handelingen niet mogelijk zonder dat het gelogd wordt.

  • -2 / 4

Anonymous Coward op Vrijdag 4 September 2009 08:59

image

en wie beheert die logs ;)

  • 0 / 4

Kaiser Söze op Vrijdag 4 September 2009 13:15

image

en wie beheert die logs ;)

Hahahaha, legendarisch.... ;-)

  • 0 / 2

Kaiser Söze op Vrijdag 4 September 2009 13:08

image

Dat is incorrect. De user die de admin aanmaakt, al een ander ID hebben,

Ja, alsof dat wat uitmaakt. Hij kan die user aanmaken, het password bepalen, remote access rechten geven en applicatierechten geven, en vervolgens vanuit zijn luie stoel de boel gaan versjtieren!

  • 0 / 2

Diogenes_Isher op Vrijdag 4 September 2009 00:07

image

Kaiser Söze zei op Donderdag 3 September 2009 21:20
Een admin kan een user aanmaken, zijn dingetje doen, de user weer weghalen en de logfiles wissen. Een foute admin die het systeem goed kent kan zijn sporen echt wel uitwissen, op welk systeem en op welk OS dan ook.
Dat is - tot op zekere hoogte - natuurlijk wel zo, maar ik ken maar EEN systeem waar de passwords (hoe is het mogelijk cq. hoe durven zij dat zo (opzettelijk ??) onveilig te doen ?) in klare taal dwz. als een soort van .txt te bewaren !!
Bij de systemen waar ik mee werk kan de root ("sysadmin") inderdaad ook een user-account aanmaken of juist verwijderen - maar zelfs de root kan nooit zomaar even snel het password van een ander achterhalen. (Nu ja, dat kan natuurlijk wel - maar dat kost zo veel tijd en moeite dat het daardoor eigenlijk maar heel weinig zin heeft. Afgezien dat men dan ook en vooral vrij goed moet zijn in het kraken van allerlei encryption-systemen en dat gaat dus bepaald niet vanzelf - aangenomen dat men slimme, niet gemakkelijk te raden passwords gebruikt heeft... ;-) )

Zij hebben bij "die firma" heel zeker nog nooit van "shadow" gehoord, waarbij passwords - ALLE (user, etc.) passwords bedoel ik dan - alleen in behoorlijk goed encrypted vorm bewaard worden. Zo als het ook behoort te worden gedaan !! Dit is behoorlijk veilig en geeft aldus een zeer acceptabel niveau van password- en daarmee gebruikers- veiligheid.
Tenzij - en dat dit heel wel mogelijk is bij de systemen van die "bekende firma" - een keylogger in het "besturings"-systeem zit ingebouwd (jawel, door de "fabrikant" zelf...) of er via een virus/trojan/worm in terecht is gekomen. In dat geval houdt het natuurlijk inderdaad helemaal op, daarom: gebruik slechts systemen waarbij dit (zo goed als) onmogelijk kan gebeuren.

Nogmaals: veiligheid (ook in alle niet-ICT zaken) is altijd een policy aka een werkwijze . Wie een intrinsiek veilig systeem gebruikt EN zich in haar of zijn achterhoofd voortdurend bewust is van wat er (ondanks de ingebouwde veiligheid) allemaal mis zou kunnen gaan ten aanzien van de veiligheid, die werkt daardoor al onvergelijkbaar veel veiliger (en beter !) dan iemand die dat totaal niet doet en maar raak klikt op "OK" in de absurde gedachte "toch niets te verbergen te hebben" en daardoor automagically onkwetsbaar te zijn. Sheeple "security policy" noem ik dat, of beter gezegd: "INsecurity"...

Dit berichtje begint waarachtig wel wat te lijken op een (1-ste) les in elementaire beveiliging van informatie-systemen - al is het op de systemen van 1 bepaalde firma onbegonnen werk om de boel echt goed veilig te (proberen/ willen...) krijgen. Daarom: iedereen die verplicht wordt daarmee te "werken": alle sterkte toegewenst, dat zult u heel hard nodig hebben...

  • 0 / 4

bots op Vrijdag 4 September 2009 01:30

image zomerhack badge 3

Ik ben het in dit geval eens ben met de kern van je verhaal, maar als ik zo vrij mag zijn: ik vind je schrijfstijl ernstig vermoeiend.

  • 2 / 8

Kaiser Söze op Vrijdag 4 September 2009 13:14

image

ik vind je schrijfstijl ernstig vermoeiend.

Op het grensvlak van hysterie en paranoia; ik vind het telkens weer een genot om te lezen. Hij doet me denken aan The Warlock uit "Die Hard 4.0":

The Warlock: [to Matt] Why did you bring a cop to my command center?
John McClane: [laughs] Command center? It's a basement.
The Warlock: [angrily] Who is this man?

  • 0 / 4

Anonymous Coward op Vrijdag 4 September 2009 09:04

image

maar ik ken maar EEN systeem waar de passwords (hoe is het mogelijk cq. hoe durven zij dat zo (opzettelijk ??) onveilig te doen ?) in klare taal dwz. als een soort van .txt te bewaren !! er is geen sprake van bewaren.. het gaat over passwords die in het actieve geheugen zitten blijkbaar en waarvan onduidelijk is hoelang. Alle opgeslagen wachtwoorden van Windows (waar je zo omslachtig naar verwijst) zijn encrypted.
Dat er unencrypted wachtwoorden opgeslagen werden is helaas niet ongebruikelijk. Denk aan het Ubuntu gebeuren daarom heen.

Dat dit probleem opgelost moet worden is duidelijk en men geeft ook aan dat te doen. Alleen niet onmiddellijk.

Je verdere suggesties over keyloggers e.d mag je onder je aluminium hoedje stoppen ;)




  • 0 / 6

Diogenes_Isher op Maandag 7 September 2009 14:18

image

@ Kaiser Söze: Aangezien u uw "mening" over mij toch al (muur) vast gesteld hebt, is een reactie daarom mijnerzijds verspilling van mijn tijd, moeite en waardevolle server-ruimte van Webwereld.
@ SED(je): Idem.

  • 0 / 0

Kaiser Söze op Vrijdag 4 September 2009 13:09

image

maar ik ken maar EEN systeem waar de passwords (hoe is het mogelijk cq. hoe durven zij dat zo (opzettelijk ??) onveilig te doen ?) in klare taal dwz. als een soort van .txt te bewaren !!

Welk systeem is dat dan????

  • 1 / 3

Anonymous Coward op Donderdag 3 September 2009 11:57

image

Apart. Op de website van Sentrigo hebben ze dus een tooltje, dat dit probleem oplost. De omschrijving zegt "you will erase these passwords". Maar als die wachtwoorden worden gewist... dan kan je toch zonder wachtwoord komen in datgene dat het wachtwoord beschermt?
Mocht dit wel een goeie fix zijn, dan vraag ik me af waarom Microsoft hier geen oplossing voor biedt (dan is een implementatie van die oplossing schijnbaar simpel te maken, want Sentrigo heeft 't snel gemaakt). Ik heb het gevoel dat we hier niet het hele verhaal horen.

  • 4 / 4

Anonymous Coward op Donderdag 3 September 2009 12:07

image

inderdaad aprat... het gaat om passwords in het memory. Dus naast admin moet je tevens fysieke toegang tot de machine hebben lijkt me.
vulnerability that enables unencrypted user passwords to be seen openly, by reviewing the contents of the process memory.

  • -3 / 9

Bolleke op Donderdag 3 September 2009 12:19

image zomerhack badge 3

Hm? Hoezo? Je moet bij het geheugen kunnen... dus een inlog op die machine hebben op z'n minst. Maar dat moet je sws hebben als je bij SQL Server wilt kunnen lijkt me (behalve als je queries direct naar een open poort op de server schiet natuurlijk).

  • 3 / 7

eMilt ! op Donderdag 3 September 2009 13:15

image

Fysiek toegang is niet nodig. Je moet admin rechten hebben op Windows (niet zo zeer 'sa' op SQL Server, alhoewel een Administrator automatisch 'sa' rechten heeft op SQL) om deze bug te kunnen misbruiken. Het geheugen van SQL server is middels debug tools te bekijken en te wijzigen (daar heb je admin rechten voor nodig).

  • 2 / 6

krak op Donderdag 3 September 2009 12:18

image

Dit is een fundamentele fout. Passwords dienen 'geencrypt' te worden met een *oneway* methode tot een hash, zodat het nooit meer terug kan. Wil je een password verifiëren dan verfrommel je het password weer en vergelijkt met de hash.

Nu zijn er twee problemen bij microsoft.
- weet een indringer eenmalig admin rechten te krijgen bv. beheerder loopt even weg bij een niet gelockte machine dan heeft de indringer snel een lijst met passwords. Het misbruiken is dan een stuk makkelijker. Bovendien gebruiken users vaak overal de zelfde passwords, en is het systeem flink gecompromitteerd.

Het tweede probleem is dat alle password software van microsoft hier aan kan lijden.

Verder is gebruikelijk dat microsoft beveiligings problemen bagatelliseert, ansders komen ze te hoog in de vergelijkings statistiek met die anderen.

  • 0 / 8

MvO op Donderdag 3 September 2009 13:03

image

Het tweede probleem is dat alle password software van microsoft hier aan kan lijden.

Dat is niet juist. Het gaat hier specifiek om SQL Server Authentication (ook bekend als Mixed Mode) en niet om authenticatie op basis van Windows-gebruikers. In een Windows domein wordt gewerkt op basis van tokens en is dit dus geen issue. Overigens is het sowieso best-practice om Mixed Mode niet te gebruiken.

  • 3 / 5

Eric_ op Donderdag 3 September 2009 14:17

image

- weet een indringer eenmalig admin rechten te krijgen bv. beheerder loopt even weg bij een niet gelockte machine dan heeft de indringer snel een lijst met passwords.

Je stelling klopt op zich wel, maar een beheerder die een system open achter laat zonder te locken hoort niet op die stoel te zitten. Het veiligheidsrisico ligt dan al bij de beheerder ipv de fout is mssql (die er overigens ook niet hoort te zijn). Dan eerder een geval van pebkac.

  • 4 / 4

Om te kunnen reageren, dient u ingelogd te zijn.

Nieuwsbrief

Ontvang dagelijks een overzicht van het laatste ICT-Nieuws in uw mailbox

Peiling

Loading Poll

Video: World Tech Update: Darpa's robot oorl...

World Tech Update: Darpa's robot oorlogspaard (video)

Verleden nieuws