Zamieszczone przez Marcin Guzowski

Wczoraj opublikowana została poprawka bezpieczeństwa m.in. dla systemu SQL Server 2005 Service Pack 2, w którym wykryto lukę, pozwalającą na całkowite przejęcie kontroli nad systemem operacyjnym, na którym zainstalowany był SQL Server. Eskalujący uprawnienia mógłby instalować nowe oprogramowania, przeglądać, dodawać i usuwać dane czy np. zakładać konta administracyjne. Omawiana podatność ma związek z tym, jak SQL Server zarządza ponownym użyciem stron danych, alokuje pamięć dla funkcji CONVERT (podatność na przepełnienie bufora), waliduje wyrażenia INSERT oraz pliki dyskowe przed ich załadowaniem. Tak na prawdę problemem dotknięte są wszystkie instacje SQL Server od wersji 7.0 do 2005 (dla poszczególnych wersji z najnowszymi SP istnieją już security update'y). Poprawka została dodana z wysokim priorytetem do systemu aktualizacji automatycznych.

Ze swojej strony mogę tylko powiedzieć, że z 8 lipca 2008 roku zakończyła się era pt. "SQL Server 2005 bez łat bezpieczeństwa".

Więcej informacji i pobieranie:
Microsoft Security Bulletin MS08-040 – Important
Download: Security Update for SQL Server 2005 Service Pack 2 (KB948109)
Security Lab: (MS08-040) Vulnerabilities in Microsoft SQL Server Could Allow Elevation of Privilege

Poniżej znajduje się link do onlineowego narzędzia pozwalającego na generowanie danych przestrzennych, a ściślej mówiąc - do generowania kodu T-SQL, który takie dane tworzy. Zasada działania jest bardzo prosta, wystarczy na mapie Virtual Earth narysować punkt, linę lub wielokąt, a po przyciśnięciu stosownego przycisku aplikacja zwraca kod T-SQL. Przykładowy kod T-SQL dla wielokąta mniej więcej pokrywającego terytorium Polski wygląda następująco:

INSERT into GeographyTable (FeatureName, FeatureGeography) VALUES ('PL', geography::STGeomFromText('POLYGON((54.36093094641741 19.863281249999993, 54.20700786353876 23.203125000000004, 52.689258590330645 24.16992187500001, 52.20715795048005 23.466796874999996, 50.561839289331495 24.433593750000004, 48.972525264287405 22.763671875000014, 49.14530462843307 20.7421875, 49.60311597568473 18.632812499999993, 50.45004279954988 16.78710937500001, 51.0616523133909 15.117187499999991, 52.58258094010119 14.853515624999998, 53.741780708568825 14.501953125000004, 54.565268084965936 17.314453124999993, 54.20700786353876 18.896484374999986, 54.36093094641741 19.863281249999993))', 4326))

Widać więc, że typ tworzonych danych to geography, który bazuje na długości i szerokości geograficznej.

Więcej informacji:
Virtual Earth -> Sql Server 2008 Geospatial Data Generator

Pojawiają się przecieki, że Microsoft planuje wydać wersję RTM systemu SQL Server 2008 znacznie wcześniej niż sierpień/wrzesień (na te miesiące wskazywały dotychczasowe nieoficjalne wypowiedzi). Bezpośrednim źródłem tej informacji jest z resztą sam Microsoft, który w tym tygodniu przekazał intencję tak szybkiego wydania Katmai dużym resellerom baz danych. W następnym tygodniu natomiast odbywa się Microsoft Worldwide Partner Conference, czyli specjalna konferencja dla partnerów koncernu z Redmond, na którym to rzeczony koncern lubi oficjalnie ogłosić wydanie jakiejś nowej finalnej wersji swojego produktu. Można się więc spodziewać, że SQL Server 2008 RTM (Release To Manufacturing) ma sporą szansę zainstnieć oficjalnie na tej konferencji. Jak twierdzi przynajmniej część moich znajomym (a ja razem z nimi), byłoby to bardzo szybkie wydanie wersji RTM, biorąc pod uwagę niedawno opublikowaną wersję RC0. Trzeba pamiętać, że takie dość szaleńcze tempo już kiedyś zaowocowało problemami (w przypadku SP2 do SQL Server 2005). Bo jak mówi stare polskie przysłowie, "jak się komuś spieszy, to się bug cieszy"...

Więcej informacji:
TechTarget: SQL Server 2008 release news, SaaS angst on tap for Microsoft partner event

Wczoraj został ogłoszony publicznie logotyp SQL Server 2008. Wygląda on następująco:


Według mnie wygląda fajnie. Z tego co wiem, to Microsoft nadal planuje wydać wersję RTM nowego SQLa w trzecim kwartale 2008 roku (niedawno słyszałem o końcu sierpnia).

Więcej informacji:
MSDN Blogs: SQL Server Logo

Microsoft publicznie potwierdził, że dostarczy Service Pack 3 do SQL Server 2005. O sytuacji z wydaniem SP3 pisałem w tym poście. Informację podał do publicznej wiadomości Francois Ajenstat na blogu The Data Platform Insider (link poniżej). SP3 będzie dostarczony w czwartym kwartale 2008 roku, czyli po wydaniu SQL Server 2008 w wersji RTM.

Skoro już o service packach mowa, to dodam, że w pierwszej połowie 2008 roku Microsoft planuje także dostarczyć SP3 do systemu Windows XP.

Więcej informacji:
TechNet blogs: SQL Server 2005 SP3 - coming soon

V Spotkanie PLSSUG Lublin odbędzie się 08 kwietnia 2008 roku, będzie to spotkanie launchowe - w całości poświęcone SQL Server 2008. Spotykamy się w standardowych godzinach (17:00-19:30) w standardowym miejscu (siedziba Anica System S.A.). Spotkanie będzie podzielone na trzy etapy - na początku odwiedzimy serwerownię Anica System, następnie zaprezentuję SQL Server 2008 i nową wizję platformy bazodanowej MS wraz z praktycznymi demami, a w trzeciej części różni członkowie grupy zaprezentują wybrane funkcjonalności nowego systemu. Plan spotkania nie jest sztywny, w razie potrzeby przeprowadzimy sesję SQL Server 2008 Q&A, postaramy się też podsumować konferencję C2C. Wszystkich chętnych serdecznie zapraszam. Przypominam o konieczności rejestracji (link poniżej) i proszę jednocześnie o punktualne przybycie.

Agenda spotkania:
17:00-17:30 - Wizyta w Anica System Data Center
17:30-18:15 - Nowości w SQL Server 2008 (Marcin Guzowski)
18:15-19:30 - SQL Server 2008: feature by feature (Członkowie PLSSUG Lublin)

Więcej informacji:
Strona informacyjna PLSSUG Lublin
PLSSUG Lublin: Rejestracja na spotkanie

Nie od dziś wiadomo, że SQL Server dostarcza sporej liczby niesupportowanych i nieudokumentowanych procedur, funkcji czy komend DBCC. Najnowsza wersja, a konkretnie CTP6, nie odbiega od tej praktyki. Jedną z ciekawszych funkcjonalności tego typu, którą chciałbym zaprezentować, jest %%physloc%%. Jest to specjalna właściwość systemowa (nazywana także wirtualną kolumną), zwracająca wartość typu binary(8), która działa wyłącznie w kontekście wiersza. Przy jej pomocy uzyskujemy tzw. physical row locator, czyli binarnie zapisany RID rekordu:

CREATE TABLE test
(
col int DEFAULT(0)
);

INSERT INTO test DEFAULT VALUES;

SELECT %%physloc%%, col FROM test;

Dostępne są także dwie nieudokumentowane funkcje - sys.fn_PhysLocFormatter i sys.fn_PhysLocCracker, które konwertują %%physloc%% na klasyczny RID. Różnica między wymienionymi funkcjami polega wyłącznie na tym, że pierwsza zwraca wartość skalarną, a druga - jako table valued function - tabelę (konkretnie - jeden rekord). W dalszych rozważaniach skupie się na pierwszej funkcji.

Fizyczny lokalizator nie jest najbardziej widowiskową funkcjonalnością produkcyjną, ale w głowie prawdziwego SQL developera lub DBA na pewno pojawi się cały szereg pomysłowych jego zastosowań, zwłaszcza podczas zgłębiania tajników storage engine'u, performance testów, czy zabaw z sortowaniem rekordów. Oczywiście nie ma gwarancji, że %%physloc%% będzie dostępny także w wersji RTM, ale na razie wszystko na to wskazuje. Funkcję sys.fn_PhysLocFormatter wywołujemy w następujący sposób:

SELECT %
%physloc%% as PhysicalLocator,
sys.fn_PhysLocFormatter(%%physloc%%) as RID
FROM test;

Powyższe zapytanie zwraca:


Dla przypomnienia: RID to numer składający się z 3 liczb całkowitych (file_id, page_id, slot_id).

Do czego można wykorzystać powyższą funkcję? Choćby do udowodnienia, że tabela tymczasowa jest serializowana na dysk. Dowód opiera się oczywiście na głęboko prawdziwym założeniu, że jeśli coś ma RID, to musi istnieć w pliku bazy danych. Poniższy skrypt tworzy tabelę tymczasową, napełnia ją jednym rekordem, a następnie zwraca RID wiersza:

CREATE TABLE #test
(
col int DEFAULT(0)
);

INSERT INTO #test DEFAULT VALUES;

SELECT sys.fn_PhysLocFormatter(%%physloc%%) FROM #test;

DROP TABLE #test;

Trzeba tylko pamiętać, że zwracana wartość, np. (1:206:0) dotyczy bazy tempdb, nawet jeśli skrypt został wywołany w kontekście innej bazy.