Μια κρίσιμη ευπάθεια zero-day στον Microsoft SQL Server, με αναγνωριστικό CVE-2025-49719, επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα μέσω δικτυακών συνδέσεων.
Δείτε επίσης: Η ενημέρωση Chrome 138 διορθώνει ευπάθεια Zero-Day
Η ευπάθεια προκύπτει από ανεπαρκή επικύρωση εισόδου στους μηχανισμούς επεξεργασίας του SQL Server, γεγονός που επιτρέπει την αποκάλυψη μη αρχικοποιημένου περιεχομένου μνήμης χωρίς να απαιτείται έλεγχος ταυτότητας ή αλληλεπίδραση με τον χρήστη. Η ευπάθεια επηρεάζει πολλές εκδόσεις του SQL Server από το 2016 έως και το 2022, ενώ οι σχετικές ενημερώσεις ασφαλείας κυκλοφόρησαν στις 8 Ιουλίου 2025 για την αντιμετώπιση αυτού του σημαντικού ζητήματος ασφαλείας.
Η ευπάθεια CVE-2025-49719 έχει ταξινομηθεί υπό την κατηγορία CWE-20: Improper Input Validation, που αντιπροσωπεύει ένα θεμελιώδες σφάλμα στον τρόπο με τον οποίο ο SQL Server επεξεργάζεται τα εισερχόμενα αιτήματα δικτύου.
Η ευπάθεια έχει βασική βαθμολογία CVSS 3.1 ύψους 7.5 και προσωρινή βαθμολογία 6.5, κατατασσόμενη ως “Σημαντικής” σοβαρότητας.
Δείτε ακόμα: Chrome zero-day επέτρεψε την ανάπτυξη του Trinper backdoor
Η τεχνική αδυναμία επιτρέπει σε επιτιθέμενους να εκμεταλλευτούν ανεπαρκείς διαδικασίες επικύρωσης εισόδου, με αποτέλεσμα την πιθανή πρόσβαση σε μη αρχικοποιημένες περιοχές μνήμης που ενδέχεται να περιέχουν ευαίσθητες πληροφορίες βάσεων δεδομένων, συμβολοσειρές σύνδεσης ή άλλες εμπιστευτικές δομές δεδομένων.
Τα χαρακτηριστικά του διανύσματος επίθεσης καθιστούν την ευπάθεια ιδιαίτερα ανησυχητική για επιχειρησιακά περιβάλλοντα.
Η συμβολοσειρά CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N υποδεικνύει επιθέσεις μέσω δικτύου με χαμηλό επίπεδο πολυπλοκότητας, χωρίς να απαιτούνται δικαιώματα ή αλληλεπίδραση χρήστη. Αυτή η διαμόρφωση δίνει τη δυνατότητα σε απομακρυσμένους επιτιθέμενους να εξάγουν δυνητικά ευαίσθητες πληροφορίες από παρουσίες του SQL Server που είναι προσβάσιμες μέσω δικτύου, καθιστώντας τις ελκυστικό στόχο για αυτοματοποιημένα εργαλεία εκμετάλλευσης και δραστηριότητες αναγνώρισης.
Ο μηχανισμός εκμετάλλευσης βασίζεται σε επιθέσεις που πραγματοποιούνται μέσω δικτύου χωρίς να απαιτούνται διαπιστευτήρια ταυτοποίησης ή συμμετοχή χρήστη, γεγονός που μειώνει σημαντικά το εμπόδιο για την επιτυχία των επιθέσεων.
Δείτε επίσης: Hackers εκμεταλλεύονται zero-day ευπάθεια στο Windows WebDav
Η Microsoft έχει διαθέσει πλήρεις ενημερώσεις ασφαλείας για την αντιμετώπιση της ευπάθειας CVE-2025-49719 σε όλες τις υποστηριζόμενες εκδόσεις του SQL Server. Η συγκεκριμένη ευπάθεια αναδεικνύει για άλλη μια φορά τη σημασία της σωστής επικύρωσης εισόδου σε εφαρμογές και συστήματα και την ανάγκη για τακτική παρακολούθηση ανακοινώσεων ασφάλειας και άμεση ανταπόκριση σε κρίσιμες ενημερώσεις.
Πηγή: cybersecuritynews
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
