Cette vulnérabilité affecte les produits Cisco et les applications qui utilisent le Serveur SQL de Microsoft ou le MSDE 2000 (Microsoft SQL Server Desktop Engine).
Plusieurs vulnérabilités ont été découverteset annoncées par Microsoft dans leur bulletin de sécurité MS02-039, MS02-056, MS02-061 ;ces vulnérabilités permettent à un utilisateur d'executer n'importe quel code ou d'effectuer une attaque du type DoS (Denial of Service) sur le serveur.

Produits Affectés
Seul les combinasions (version & configuration) suivantes sont vulnérables :
–Cisco CallManager 3.3(x)
–Cisco Unity 3.x, 4.x
–Cisco Building Broadband Service Manager 5.0, 5.1

Détails
Les implémentation du serveur 2000 SQL de Microsoft et du MSDE 2000 sont vulnérables aux dépassement de tampon ainsi qu'aux attaques de type DoS. Ces vulnérabilités peuvent être exploitées pour executer n'importe quel code sur le système ou troubler les opérations normales du serveur.
Pour plus de détails :
-http://www.microsoft.com/technet/security/virus/alerts/slammer.asp
-http://www.microsoft.com/technet/security/bulletin/MS02-039.asp
-http://www.microsoft.com/technet/security/bulletin/MS02-056.asp
-http://www.microsoft.com/technet/security/bulletin/MS02-061.asp

Impact
Selon Microsoft, les vulnérabilités varient de l'obtention des droits supplémentaires sur le serveur SQL jusqu'à l'obtention du contrôle du serveur SQL. De plus, le ver « Sapphire » exploite ces vulnérabilités cela peut entraîner une augmentation du traffique réseaux.

Versions corrigées et Patches
–Cisco CallManager
Les configurations utilisant la version 3.3(x) doivent être corrigées en installant le Cisco's cumulative SQL 2000 Hotfix, SQL2K-MS02-061.exe, se trouvant à l'adresse suivante: http://www.cisco.com/tacpage/sw-center/telephony/crypto/voice-apps/

– Cisco Unity
Installer le Microsoft SQL 2000 service pack 2 (SP2) ainsi que le Security rollup 1 (SRP1) "Q323875_SQL2000_SP2_en.EXE". Tous deux disponibles à : http:// support.microsoft.com/default.aspx?scid=kb;en-us;Q316333&sd=tech

– Cisco Building Broadband Service Manager
Les patches pour les versions 5.0 et 5.1 sont actuellement disponible sur www.cisco.com . La version 5.2 n'est vulnérable.

Avant d'installer le patch de sécurité pour cette vulnérabilité, il est nécessaire d'installer MSFIX1 et MSFIX2. Java Runtime 1.3.1 doit être installé après MSFIX1, et avant MSFIX2.

Java Runtime 1.3.1 est disponible à : http://java.sun.com/j2se/1.3/download.html

Le patch est disponible à : http://www.cisco.com/public/sw-center/sw-netmgmt.shtml

Des instructions pour installation des patches sur BBSM peuvent être trouvés à :
http://www.cisco.com/univercd/cc/td/doc/product/aggr/bbsm/bbsm52/user/use52_05.htm#50416