Abus de procedures stockees.

Exploitation de procedures stockees privilegiees ou non securisees pour executer du SQL arbitraire, des commandes systeme ou escalader des privileges depuis la base. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Exploitation de procedures stockees privilegiees ou non securisees pour executer du SQL arbitraire, des commandes systeme ou escalader des privileges depuis la base.

Les procedures stockees encapsulent le SQL sur le serveur de base de donnees et tournent souvent avec des droits eleves. L'abus se produit quand l'attaquant invoque des primitives dangereuses (xp_cmdshell, OPENROWSET, sp_OACreate sous MS SQL Server ; UTL_FILE, DBMS_SCHEDULER sous Oracle ; COPY ... PROGRAM sous PostgreSQL) ou quand des procedures applicatives concatenent des parametres dans EXEC/sp_executesql sans liaison, reintroduisant une injection SQL dans du code de confiance. Consequences : execution de commandes sous le compte de service, mouvement lateral via serveurs lies, exfiltration par ecriture de fichiers, contournement du controle d'acces applicatif. Durcissement : desactiver les procedures dangereuses, moindre privilege, sp_executesql avec parametres types et restrictions sur EXECUTE.

Les défenses contre Abus de procedures stockees combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Abus de xp_cmdshell.