Microsoft SQL Serverに権限昇格される脆弱性、SQLインジェクションが原因
Summary
SQLコマンドの特殊要素の無害化不備（SQLインジェクション）により、認証済みの攻撃者がネットワーク経由で権限を昇格できる脆弱性です。CVSSは7.5で、SQL Server 2017から2025までの複数の版が影響を受けます。修正版が公開されているため、利用中の版に合わせて更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SQLコマンドの特殊要素の無害化不備（SQLインジェクション）により、認証済みの攻撃者がネットワーク経由で権限を昇格できる脆弱性です。CVSSは7.5で、SQL Server 2017から2025までの複数の版が影響を受けます。修正版が公開されているため、利用中の版に合わせて更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| MicrosoftMicrosoft SQL Server 2017 (GDR) |
≥ 14.0.0, < 14.0.2150.2→ 14.0.2150.2 |
14.0.2150.2 |
| MicrosoftMicrosoft SQL Server 2017 for x64-based Systems (CU31) |
≥ 14.0.3006.16, < 14.0.3570.2→ 14.0.3570.2 |
14.0.3570.2 |
| MicrosoftMicrosoft SQL Server 2022 (GDR) |
≥ 16.0.0, < 16.0.1220.3→ 16.0.1220.3 |
16.0.1220.3 |
| MicrosoftMicrosoft SQL Server 2022 for x64-based Systems (CU27) |
≥ 16.0.4003.1, < 16.0.4315.2→ 16.0.4315.2 |
16.0.4315.2 |
| MicrosoftMicrosoft SQL Server 2025 CU10 |
≥ 17.0.4006.0, < 17.0.5045.3→ 17.0.5045.3 |
17.0.5045.3 |
| MicrosoftMicrosoft SQL Server 2025 for x64-based Systems (GDR) |
≥ 17.0.1050.2, < 17.0.1155.3→ 17.0.1155.3 |
17.0.1155.3 |
Original description The description as published by the source.
Improper neutralization of special elements used in an sql command ('sql injection') in SQL Server allows an authorized attacker to elevate privileges over a network.
Source: Microsoft Security Response Center Blog NVD GitHub Advisory
References
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com