CVE-2020-0618criticalbajo ataqueransomwareCWE-502

CVE-2020-0618: fallo crítico en Microsoft SQL Server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Microsoft SQL Server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 99%
de la publicación al arma4 días
Publicada en NVD11 feb
1ª PoC+4d
metasploit11 feb
CISA KEV+1681d
Acción exigida por CISAplazo federal: 2024-10-09

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

SQL Server Reporting Services de Microsoft tiene una vulnerabilidad crítica que permite a los atacantes ejecutar código malicioso remotamente en sistemas afectados. Esto sucede porque el servicio procesa incorrectamente ciertas solicitudes de página, dando a los atacantes una forma de tomar control total del servidor.

Detalle técnico

Una vulnerabilidad de ejecución remota de código en SQL Server Reporting Services surge del manejo inadecuado de solicitudes de página, permitiendo que atacantes no autenticados ejecuten código arbitrario con los privilegios del proceso de Reporting Services. La falla se activa mediante solicitudes HTTP especialmente elaboradas y puede llevar al compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A remote code execution vulnerability exists in Microsoft SQL Server Reporting Services when it incorrectly handles page requests, aka 'Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability'.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Microsoft · Microsoft SQL ServerMicrosoft · Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (CU)Microsoft · Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR)Microsoft · Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (CU)Microsoft · Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (GDR)Microsoft · Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (GDR)
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Microsoft SQL Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-1068HIGHCVE-2019-1068EPSS 57.3%KEVCVE-2018-8273—CVE-2018-8273EPSS 31.2%