Microsoft · SQL Server
CVE-2020-0618
Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability
De quoi s'agit-il
A remote code execution vulnerability exists in Microsoft SQL Server Reporting Services when it incorrectly handles page requests, aka 'Microsoft SQL Server Reporting Services Remote Code Execution Vulnerability'.
CISA: Microsoft SQL Server Reporting Services contains a deserialization vulnerability when handling page requests incorrectly. An authenticated attacker can exploit this vulnerability to execute code in the context of the Report Server service account.
Que faire
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 9 octobre 2024
- Ajoutée à la liste de la CISA
- 18 septembre 2024
- Publiée
- 11 février 2020
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 99,0% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-502
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (3)
Autres failles exploitées chez Microsoft
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 26 août 2026 | Remote Code Execution | SQL Server | Élevé 8,8 | 57% |
| 13 oct. 2026 | Command Injection | Windows | Élevé 8,8 | 9,8% |
| 25 sept. 2026 | Code Injection | SharePoint | Élevé 8,8 | 8,2% |
| 8 sept. 2026 | Link Following | Windows | Élevé 7,8 | 0,4% |
| 8 sept. 2026 | Heap-Based Buffer Overflow | Windows | Élevé 7,8 | 0,4% |
| 18 août 2026 | Double Free | Internet Key Exchange (IKE) Service Extensions | Critique 9,8 | 77% |
| 18 août 2026 | Weak Authentication | SharePoint | Critique 9,1 | 70% |
| 11 août 2026 | Windows Ancillary Function Driver for WinSock Use-After-Free | Windows Ancillary Function Driver for WinSock | Élevé 7,0 | 0,3% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.