Skip Navigation Links
Novas Tecnologias
Ferramentas Adicionais
Ferramentas Adicionais


Dica No :
1239
Assunto : SQL Server
Titulo: Trustworthy permite a usuário se tornar SysAdmin

Gostou do texto ? Vote e dê sua opinião! Pontuação atual :

Translate this page now :






Adicione aos Favoritos!
BlogBlogs Rec6 Linkk Ueba Technorati Delicious DiggIt! StumbleUpon





Existem muitos artigos recomendando a habilitação do trustworthy no SQL Server. O trustworthy é um atributo das bases de dados que indica que uma base de dados é confiável para a realização de algumas operações, tal como permitir que uma procedure com 'execute as' faça acesso entre bancos.

Ocorre que o trustworthy gerar uma falha de segurança que em determinados ambientes pode ser perigosa.

A falha do trustworthy pode ser grave em ambientes em que o owner das bases de dados tem permissão tem sysadmin e existem outros usuários inseridos dentro da database role db_owner mas que não são sysadmin (talvez funcione com permissões abaixo de db_owner, é necessário mais testes).

Efeito: Se o banco de dados estiver com trustworthy ligado os usuários db_owner mas sem permissão em outros bancos podem se tornar sysadmin, passando a ter permissão em todo o servidor.

Como isso ocorre ?

Um db_owner pode criar uma procedure utilizando a instrução 'Execute as owner' no schema DBO. O owner do banco de dados sendo sysadmin, a procedure executará com permissão de sysadmin e poderá simplesmente adicionar o usuário, antes apenas db_owner, na server role de sysadmin.

Basta uma procedure assim:

CREATE PROCEDURE MakeMeSysAdmin
WITH EXECUTE AS OWNER
AS
BEGIN
ALTER SERVER ROLE [sysadmin] ADD MEMBER [Fulano]
END
GO

A habilitação do trustworthy pode em geral ser substituida por certificados e assinatura de procedures, evitando esse tipo de falha.


Nome :
E-mail:
Comentarios :
 
 
Os Últimos Comentários
Nenhum comentário foi realizado ainda. Seja o primeiro !
Dicas
Dica do Dia
Receba Dicas Por Email
E-mail :  
 


 (help)
Aceito receber informativos do devASPNet, informações de eventos e treinamentos

Veja Quais Informativos Você Receberá

Pesquisar Dicas
Pesquisar Artigos, Dicas e Noticias

Banco de Dados
Algumas Entrevistas
Links Importantes

Búfalo Informática, Treinamento e Consultoria
R. Alvaro Alvim, 37/920 Centro - Cinelândia - Rio de Janeiro Cep: 20031-010
Tel : (21) 2262-1368 (21) 9240-5134 E-mail : Contato@bufaloinfo.com.br