Microsoft anuncia una vulnerabilidad en SQL Server

Microsoft acaba de publicar un parche para paliar una vulnerabilidad
en la rutina de instalación de SQL Server 7, por la cual, bajo
determinadas circunstancias la password de administración queda
grabada en el servidor en un archivo en texto plano.
El problema sólo se da cuando Microsoft SQL Server 7.0,
independientemente de la instalación del Service Packs 1 o 2, se
instala en una máquina configurada para realizar autenticación en Modo
Mixto. En este caso, la password de administrados del sistema de la
base de datos (sa) se grabará en textgo plano en el archivo
\%TEMP%\sqlsp.log. Los permisos asignados por defecto a este archivo
permiten a cualquier usuario con acceso al servidor leer su contenido
y por tanto conseguir la password de administración de la base de
datos.

La password sólo se graba en el archivo de texto cuando se emplea el
modo mixto y además de ello, si el administrador decide emplear SQL
Server Authentication al instalar el service pack. Microsoft siempre
ha recomendado a los usuarios el uso de la Autenticación Windows NT,
método mucho más seguro. Por lo que todos los administradores que
hayan seguido este consejo no se ven afectados por el problema.
Incluso, en aquellos servidores afectados no deberían verse
comprometidos si se siguen las normas habituales de seguridad, entre
las que se destaca la de evitar el acceso físico a los servidores por
parte de los usuarios normales.

Más información:

Localización del parche:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=21546

Boletín de seguridad:
http://www.microsoft.com/technet/security/bulletin/ms00-035.asp

Preguntas y respuestas acerca de la vulnerabilidad:
http://www.microsoft.com/technet/security/bulletin/fq00-035.asp