Newsgroup: it.comp.os.win.win2000
Titolo: Per tutti coloro che utilizzano SQL Server 2000

Scaricate ed installate immediatamente il Service Pack 3 (uscito il 17
gennaio), stanotte ha iniziato a diffondersi a macchia d'olio un worm che
attacca SQL Server e satura CPU e connessioni di rete.
Massimo

 attacca SQL Server e satura CPU e connessioni di rete.
ah, ecco, mi pareva che ci fossa qualcosa che non andava......
grazie per la segnalazione!!
ciao
andrea

nonostante quello che potrebbe dire il mio nick, sono Juliet. Ah, quasi 
dimenticavo, Massimo ha scritto: 

a causa d'un bug per il quale avreste gią dovuto installare la patch il 
giugno scorso, per inciso
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.0.21. C/C++ and ASM developers
                               and beta testers are welcome!

 il giugno scorso, per inciso
E' da 2 anni che si conosce sto bug ma......
--
-----------------------------
*FAQ eMuliane*: 
http://rmattioli.gamersrevolt.it/eMule-faq.html

 wrote in message
news:b0u1jn$1c2j$1...@newsreader1.mclink.it...


 una versione limitata si sql ti becchi il bug e te lo tieni :o)
Uh ?
Non ho capito di cosa parli... forse del MSDE ?
Massimo

 Non ho capito di cosa parli... forse del MSDE ?
Non credo... solitamente MSDE utilizza gli stessi service pack del
"fratello maggiore" SQL Server.
--
Ciao
Gerardo Fransecky

 wrote in message
news:b0u1jn$1c2j$1...@newsreader1.mclink.it...


 Invece il tutto funzione e risolve su sql2000 completo.
Gli sta bene.
Usare versioni personalizzate (e spesso ridotte) dei programmi originali è
in genere una solenne idiozia, come ben sa chiunque abbia tentato di
installare Internet Explorer personalizzato dall'ISP di turno.
Massimo

 wrote in message
news:b115ae$ar6$1...@newsreader1.mclink.it...


 per tutti quelli che usano queste versioni ridotte.
Domanda (non a te, ma alle software house in discussione): non sarebbe
meglio utilizzare MSDE che oltre ad essere royalties free e' compatibile
con SQL Server e si aggiorna con gli stessi service pack e patch?
--
Ciao
Gerardo Fransecky

 wrote in message
news:b11m4d$u6ror$1...@ID-160269.news.dfncis.de...


Invece il tutto funzione e risolve su sql2000 completo.
Bastava aver la porta 1433 chiusa e anche se non avevi il Sql
aggiornato non succedeva nulla..
ciao
---------------
    beep beep Roby
PS: togliere Le XXX per rispondere via mail.
PS: delete XXX to mail reply

 attacca SQL Server e satura CPU e connessioni di rete.
Esclusivamente per coloro che hanno SQLServer in ascolto
su interfacce pubbliche e senza uno straccio di firewall davanti.
--
Saluti e salute a tutti.
________________
Gabriele Del Giovine [Microsoft MVP]
Windows 2000 - Windows NT 4.0
- Le informazioni fornite in questo messaggio sono fornite
  senza vincolo di garanzia e senza responsabilità alcuna.
- This posting is provided "AS IS" with no warranties explicit
  or implied and confers no rights whatsoever.

 su interfacce pubbliche e senza uno straccio di firewall davanti.
Purtroppo, pare che di simili idioti non ce ne siano affatto pochi :-/
Massimo

 wrote in message
news:b143qv$2ce9$1...@newsreader1.mclink.it...


 Gli idioti sono coloro che danno proprio le risposte di usare i firewall.
Quindi devo dedurne che tu, indipendentemente dalla sicurezza dei sistemi
che usi, metteresti tutti i tuoi server su indirizzi pubblici e senza
firewall.
Se è così, spero di non dover mai lavorare su una rete progettata da te.
E comunque, se è per questo, ci sono anch gli idioti che non applicano patch
di sicurezza pubblicate già da sei mesi... e non venirmi a dire che è colpa
del produttore anche questo.
Massimo

 ciao
Software privo di errori e vulnerabilità non esiste.
A distanza di anni e centinaia di revisioni si scoprono possibilità di
exploit
su pacchetti come Bind, SSH/SSL, Apache. Pacchetti pensati
per essere presenti su interfacce pubbliche.
Come puoi pretendere che sistemi NON pensati per essere accessibili
da chiunque possano essere immuni da problemi del genere?


 Invece il tutto funzione e risolve su sql2000 completo.
Scusa, ma che necessità c'è di avere il server SQL custom di Backup Exec
raggiungibile da internet?
Se devi farlo eventualmente comunicare
con un suo omologo su internet sarebbe consigliabile farlo
usando un tunnel VPN L2TP/IPSEC.
Puoi fare tutti i discorsi che vuoi sulla bontà del software.
Resta il fatto che le vulnerabilità ci sono e che con esse
dobbiamo confrontarci. Soluzioni ne esistono.


 "fratello maggiore" SQL Server.
No, MSDE usa delle sue Service Pack.
http://www.microsoft.com/downloads/details.aspx?FamilyId=9032F608-160A-4537-
A2B6-4CB265B80766&displaylang=en


 
www.tinto.org

 credono di sapere tutto perché hanno installato un firewall da 50000 lire.
Suvvia, quindi qui saremmo tutti degli esaltati ignoranti?
Io sicuramente sarò ignorante, ma esaltato non mi sembra.
Non ti sembra di esagerare un poco nel distribuire
patenti di ignoranza ed esaltazione?


Per niente:
ho iniziato un discorso su una società che ha tirato fuori un software da
pochi giorni con già dei problemi, poichè usa un applicativo SQL.
E qualcuno se ne esce fuori con firewall fix ecc dando dei deficenti a chi
non li usa "quando" il discorso è totalmente diverso.
Ma da quello che vedo nessuno qui ha capito la filosofia del discorso e vi
siete tutti fossilizati su altri argomenti, diciamo tanto per far vedere,
che avete installato una volta un firewall da 50.000 mila.
Chi doveva capire sicuramente ha capito.
Ciao
"Gabriele Del Giovine [MVP]" <sayno...@nospammershere.please> wrote in
message news:b16dv9$1b07$1...@newsreader1.mclink.it...


 No, MSDE usa delle sue Service Pack.
Hai ragione... Ero fermo al SP4 di SQL 7 che e' unico (Server + MSDE).
--
Ciao
Gerardo Fransecky

 che avete installato una volta un firewall da 50.000 mila.
Quelle 50.000 (o anche zero, se come credo la macchina era un Windows 2000
Server) avrebbero fatto risparmiare diversi milioni di euro.
Comunque è inutile piangere sul latte versato.



vorrei farti notare che le banche italiane, hanno solo un paio di punti di
accesso a internet, con firewall hardware e software in tandem e ridondati
in ognuno di questi punti.
le principali multinazionali, hanno firewall di un certo "peso" (e costo) a
protezione dei loro punti di accesso alla rete.
tutti i fornitori di servizi internet prevendono, tra le opzioni fornite ai
clienti, anche la configurazione e installazione di firewall per la
protezione delle lan con connessione permanente a internet.
una dittarella americana abbastanza nota (mi pare si chiami cisco...)
produce aggeggini tipo i pix che, se non sbaglio, hanno proprio la funzione
di firewall.
mi vuoi dire che sono tutti idioti che sbagliano a proteggersi?
come esperienza personale, ho trovato che un'adsl riceve scan per la ricerca
di vulerabilità con frequenza piuttosto elevata (~100/giorno).
un privato con un solo pc on, probabilmente può trascurare la cosa.
un'azienda che rende disponibili servizi, necessita di qualche protezione o
cmq della possibilità di bloccare questi tentativi.
ovvero, ha bisogno di un firewall.
dato che la tua opinione è così diversa dalla "massa", probabilmente hai
avuto esperienze con software senza bug.
se volessi farceli conoscere, potremmo migliorare tutti, magari uscendo
dalla nostra idiozia...

mi dispiace che la pensi così
purtroppo "per te le" macchine sia pubbliche che interne alla LAN avevano il
sp3 di sql2000 messo dopo poche ore che era uscito.
Sono comunque protette dall'esterno da firewall PIX
Ed i dati comunque viaggiano tutti in IPSEC, il quale poi blocca anche tutte
le porte non necessarie anche per la lan interna.
Quindi difficile da attaccare con una stronzatina tipo quella che ha
attaccato le poste :o)
Il problema della Veritas è solo che ho provato il programma appena uscito
su una macchinetta messa a casa mia con ip pubblico, appena installata tanto
per
 provare il programma, la quale non aveva nulla ed ho notato subito il
problema. Problema non verificatosi nella altre macchine in lan poiché
protette ed anche loro e con sql; ed ho notato che dopo pochi minuti la
scheda di rete mi saturava il router. Da li ho segnalato il tutto alla
Veritas e dopo due gioni è arrivata la risposta
con le modalità per risolvere il problema di questa versione 9.0
Diciamo che mi diverto a beccare i bug veritas ma per un fatto personale
:o). ..... programma che uso da anni in tutte le versione e su 40 server
Il BUG comunque è presente anche il altri software che usano quella versione
ridotta di sql. Secondo me dovrebbero cambiare metodo e farsi
dei database propri.
ciao
"Gabriele Del Giovine [MVP]" <sayno...@nospammershere.please> wrote in
message news:b185af$2ama$1...@newsreader1.mclink.it...


 dei database propri.
Lo credo anche io. Perň questo complica lo sviluppo.
I programmatori una volta che hanno provato un DB con SQL
difficilmente tornano indietro a qualcosa di meno comodo.
Saluti.

 Lo credo anche io. Però questo complica lo sviluppo.


 firewall. ciao
cazzate. Un database non deve MAI ascoltare su un'interfaccia pubblica. 
Non direttamente e senza precauzioni, almeno
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.0.21. C/C++ and ASM developers
                               and beta testers are welcome!

 ha scritto nel messaggio
news:Xns93169830...@127.0.0.1...


 Inchinatevi ha parlato Dio!!
Sei in grado di espormi *un solo* caso in cui sia necessario che un database
ascolti su un IP pubblico senza nessun firewall in mezzo ?
Massimo

 ha scritto nel messaggio
news:b1m1qk$1r0r$1...@newsreader1.mclink.it...


 web con la porta 80 chiusa? ne sareste capaci :o)
Innanzitutto, mi sembra un pessimo progetto quello in cui il database si
trova in un punto e i programmi che lo usano in un altro, e il collegamento
avviene tramite Internet invece che mediante una WAN. Ma, se proprio questo
fosse necessario, le VPN le hanno inventate apposta. E se anche queste non
fossero applicabili alla situazione, sarebbe comunque molto saggio impostare
un firewall per permettere collegamenti diretti al database in questione
*solo* dai client che lo devono utilizzare.
E non dirmi che potrebbero doverlo utilizzare tutti, perché di database SQL
pubblici non ne ho mai visti in vita mia, a parte uno che veniva utilizzato
da un sito per un tutorial sull'SQL con esercizi annessi. Ma, anche in quel
caso, il database non era esposto a nessuno e c'era una pagina web in cui
inserire il comando da provare.
Il punto di tutto il discorso è che un server web è un server di front-end,
quindi una cosa che per definizione *va* data in pasto agli utenti. Un
database invece è un server di back-end, e difficilmente gli utenti finali
hanno bisogno di sapere persino che *esista*.
Massimo

 ha scritto nel messaggio
news:Xns93169830...@127.0.0.1...


E ti assicuro che sql regge bene gli attacchi :o)
Magari pubblichiamo anche il server di posta aziendale per far leggere
la posta agli utenti itineranti e così completiamo la frittata.
E su un progetto del genere ci metti pure la firma?
------------------
Alessandro Borille
Microsoft MVP - (Windows 2000)

 Inchinatevi ha parlato Dio!!
taci, idiota. Prega di non trovarti mai nel mio stesso netblock


 Quindi a priori non si possono bloccare ne ip ne usare vpn, o altro.
Dai che lo sai anche tu,
ai clienti che si spostano si da un bel PC con la porta USB
ed una chiave USB per una connessione L2TP/IPSEC
Saluti.