Biuletyn zabezpieczeń firmy Microsoft MS15-058 — ważne

Luki w zabezpieczeniach w programie SQL Server mogą zezwalać na zdalne wykonywanie kodu (3065718)

Opublikowano: 14 lipca 2015 r. | Zaktualizowano: 9 grudnia 2015 r.

Wersja: 1.2

Streszczenie

Ta aktualizacja zabezpieczeń usuwa luki w zabezpieczeniach w programie Microsoft SQL Server. Najcięższe luki w zabezpieczeniach mogą zezwalać na zdalne wykonywanie kodu, jeśli uwierzytelniony atakujący uruchamia specjalnie spreparowane zapytanie przeznaczone do wykonywania funkcji wirtualnej z nieprawidłowego adresu, co prowadzi do wywołania funkcji w niezainicjowanej pamięci. Aby wykorzystać tę lukę w zabezpieczeniach, osoba atakująca musi mieć uprawnienia do tworzenia lub modyfikowania bazy danych.

Ta aktualizacja zabezpieczeń jest oceniana jako ważna dla obsługiwanych wersji programu Microsoft SQL Server 2008, Microsoft SQL Server 2008 R2, Microsoft SQL Server 2012 i Microsoft SQL Server 2014. Aby uzyskać więcej informacji, zobacz sekcję Oprogramowanie, którego dotyczy problem .

Aktualizacja zabezpieczeń usuwa luki w zabezpieczeniach, poprawiając sposób obsługi wewnętrznych wywołań funkcji i rzutowania wskaźników przez program SQL Server. Aby uzyskać więcej informacji na temat luk w zabezpieczeniach, zobacz sekcję Informacje o lukach w zabezpieczeniach.

Aby uzyskać więcej informacji na temat tej aktualizacji, zobacz artykuł bazy wiedzy Microsoft Knowledge Base 3065718.

Oprogramowanie, którego dotyczy problem

Następujące oprogramowanie zostało przetestowane w celu określenia, na które wersje lub wydania mają wpływ. Inne wersje lub wydania są przeszłości ich cyklu życia pomocy technicznej lub nie mają wpływu. Aby określić cykl życia pomocy technicznej dla wersji lub wydania oprogramowania, zobacz pomoc techniczna firmy Microsoft Cykl życia.

Oprogramowanie, którego dotyczy problem 

Aktualizacje oprogramowania GDR Aktualizacje oprogramowania QFE Maksymalny wpływ na zabezpieczenia Ocena zagregowanej ważności Aktualizacje zastąpione
SQL Server 2008 z dodatkiem Service Pack 3
Microsoft SQL Server 2008 dla 32-bitowych systemów z dodatkiem Service Pack 3 (3045305) Microsoft SQL Server 2008 dla systemów 32-bitowych z dodatkiem Service Pack 3 (3045303) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 for x64-based Systems Service Pack 3 (3045305) Microsoft SQL Server 2008 for x64-based Systems Service Pack 3 (3045303) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 dla systemów opartych na itanium z dodatkiem Service Pack 3 (3045305) Microsoft SQL Server 2008 dla systemów opartych na itanium z dodatkiem Service Pack 3 (3045303) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2008 z dodatkiem Service Pack 4
Microsoft SQL Server 2008 dla systemów 32-bitowych z dodatkiem Service Pack 4 (3045311) Microsoft SQL Server 2008 dla systemów 32-bitowych z dodatkiem Service Pack 4 (3045308) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 4 (3045311) Microsoft SQL Server 2008 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 4 (3045308) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2008 R2 z dodatkiem Service Pack 2
Microsoft SQL Server 2008 R2 dla systemów 32-bitowych z dodatkiem Service Pack 2 (3045313) Microsoft SQL Server 2008 R2 dla 32-bitowych systemów z dodatkiem Service Pack 2 (3045312) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 2 (3045313) Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 2 (3045312) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 R2 dla systemów opartych na itanium z dodatkiem Service Pack 2 (3045313) Microsoft SQL Server 2008 R2 dla systemów opartych na itanium z dodatkiem Service Pack 2 (3045312) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2008 R2 z dodatkiem Service Pack 3
Microsoft SQL Server 2008 R2 dla systemów 32-bitowych z dodatkiem Service Pack 3 (3045316) Microsoft SQL Server 2008 R2 dla systemów 32-bitowych z dodatkiem Service Pack 3 (3045314) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 3 (3045316) Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 3 (3045314) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2012 z dodatkiem Service Pack 1
Microsoft SQL Server 2012 dla systemów 32-bitowych z dodatkiem Service Pack 1 (3045318) Microsoft SQL Server 2012 dla systemów 32-bitowych z dodatkiem Service Pack 1 (3045317) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2012 for x64-based Systems Service Pack 1 (3045318) Microsoft SQL Server 2012 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 1 (3045317) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2012 z dodatkiem Service Pack 2
Microsoft SQL Server 2012 dla systemów 32-bitowych z dodatkiem Service Pack 2 (3045321) Microsoft SQL Server 2012 dla 32-bitowych systemów z dodatkiem Service Pack 2 (3045319) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2012 for x64-based Systems Service Pack 2 (3045321) Microsoft SQL Server 2012 for x64-based Systems Service Pack 2 (3045319) Zdalne wykonywanie kodu Ważne Brak
SQL Server 2014
Program Microsoft SQL Server 2014 dla systemów 32-bitowych (3045324) Program Microsoft SQL Server 2014 dla systemów 32-bitowych (3045323) Zdalne wykonywanie kodu Ważne Brak
Microsoft SQL Server 2014 for x64-based Systems (3045324) Microsoft SQL Server 2014 for x64-based Systems (3045323) Zdalne wykonywanie kodu Ważne Brak

Często zadawane pytania dotyczące aktualizacji

Istnieją aktualizacje GDR i/lub QFE oferowane dla mojej wersji programu SQL Server. Jak mogę wiedzieć, której aktualizacji użyć?
Najpierw określ numer wersji programu SQL Server. Aby uzyskać więcej informacji na temat określania numeru wersji programu SQL Server, zobacz artykuł bazy wiedzy Microsoft Knowledge Base 321185.

Po drugie, w poniższej tabeli znajdź numer wersji lub zakres wersji, w którym znajduje się numer wersji. Odpowiednia aktualizacja to ta, którą należy zainstalować.

Uwaga Jeśli numer wersji programu SQL Server nie jest reprezentowany w poniższej tabeli, wersja programu SQL Server nie jest już obsługiwana. Uaktualnij do najnowszego produktu Service Pack lub PROGRAMU SQL Server, aby zastosować te i przyszłe aktualizacje zabezpieczeń.

Numer aktualizacji Tytuł Zastosuj, jeśli bieżąca wersja produktu to... Ta aktualizacja zabezpieczeń obejmuje również wersje obsługi...
3045305 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 z dodatkiem Service Pack 3 GDR: 14 lipca 2015 r. 10.00.5500.00 lub 10.00.5520.00 2008 SP3 GDR (MS14-044)
3045303 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 z dodatkiem Service Pack 3 QFE: 14 lipca 2015 r. 10.00.5750. - 10.00.5869.00 2008 SP3 CU17
3045311 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 z dodatkiem Service Pack 4 GDR: 14 lipca 2015 r. 10.0.6000.29 2008 SP4
3045308 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 z dodatkiem Service Pack 4 QFE: 14 lipca 2015 r. 10.0.6500.00 - 10.0.6526.0 2008 SP4
3045313 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 R2 z dodatkiem Service Pack 2 GDR: 14 lipca 2015 r. 10.50.4000.0 lub 10.50.4033.0 2008 R2 SP2 GDR (MS14-044)
3045312 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 R2 z dodatkiem Service Pack 2 QFE: 14 lipca 2015 r. 10.50.4251.0 - 10.50.4331.0 2008 R2 SP2 CU13
3045316 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 R2 z dodatkiem Service Pack 3 GDR: 14 lipca 2015 r. 10.50.6000.34 2008 R2 SP3
3045314 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2008 R2 z dodatkiem Service Pack 3 QFE: 14 lipca 2015 r. 10.50.6500.0 - 10.50.6525.0 2008 R2 SP3
3045318 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2012 SP1 GDR: 14 lipca 2015 r. 11.0.3000.0 lub 11.0.3153.0 2012 SP1 GDR (MS14-044)
3045317 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2012 SP1 QFE: 14 lipca 2015 r. 11.0.3300.0 - 11.0.3492.0 2012 SP1 CU16
3045321 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2012 z dodatkiem Service Pack 2 GDR: 14 lipca 2015 r. 11.0.5058.0 2012 SP2
3045319 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2012 z dodatkiem Service Pack 2 QFE: 14 lipca 2015 r. 11.0.5500.0 - 11.0.5592.0 2012 SP2 CU6
3045324 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2014 GDR: 14 lipca 2015 r. 12.0.2000.8 lub 12.0.2254.0 2014 RTM GDR (MS14-044)
3045323 MS15-058: Opis aktualizacji zabezpieczeń programu SQL Server 2014 QFE: 14 lipca 2015 r. 12.0.2300.0 - 12.0.2546.0 2014 RTM CU8
3070446 MS15-058: Opis aktualizacji niezwiązanej z zabezpieczeniami programu SQL Server 2014 z dodatkiem Service Pack 1 GDR: 14 lipca 2015 r. 12.0.4100.1 2014 SP1

Uwaga W przypadku gałęzi GDR po zastosowaniu aktualizacji nie będzie widoczne wykonanie skryptu uaktualniania bazy danych. Jest to oczekiwane zachowanie, ponieważ poprawka zastępuje tylko pliki binarne.

Aby uzyskać dodatkowe instrukcje dotyczące instalacji, zobacz podsekcję Informacje o aktualizacji zabezpieczeń dla wersji programu SQL Server w sekcji Informacje o aktualizacji.

Jakie są oznaczenia aktualizacji GDR i QFE i jak się różnią?
Oznaczenia General Distribution Release (GDR) i Quick Fix Engineering (QFE) odpowiadają dwóm różnym gałęziom obsługi aktualizacji na potrzeby programu SQL Server. Podstawową różnicą między nimi jest to, że gałęzie QFE łącznie obejmują wszystkie aktualizacje, podczas gdy gałęzie GDR obejmują tylko aktualizacje zabezpieczeń dla danego punktu odniesienia. Punktem odniesienia może być początkowa wersja RTM lub dodatek Service Pack.

W przypadku dowolnego punktu odniesienia aktualizacje gałęzi GDR lub QFE są opcjami, jeśli jesteś w punkcie odniesienia lub zainstalowano poprzednią aktualizację odzyskiwania po awarii dla tego punktu odniesienia. Gałąź QFE jest jedyną opcją, jeśli zainstalowano poprzednią wersję QFE dla punktu odniesienia, na którym się znajdujesz.

Czy te aktualizacje zabezpieczeń będą oferowane klastrom programu SQL Server? 
Tak. Aktualizacje będą również oferowane dla wystąpień klastrowanych w programach SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 i SQL Server 2014. Aktualizacje dla klastrów programu SQL Server będą wymagały interakcji z użytkownikiem.

Jeśli klaster SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 lub SQL Server 2014 ma węzeł pasywny, aby zmniejszyć przestoje, firma Microsoft zaleca skanowanie i stosowanie aktualizacji do nieaktywnego węzła, a następnie skanowanie i zastosowanie go do aktywnego węzła. Po zaktualizowaniu wszystkich składników we wszystkich węzłach aktualizacja nie będzie już oferowana.

Czy aktualizacje zabezpieczeń można zastosować do wystąpień programu SQL Server na platformie Windows Azure (IaaS)?
Tak. Wystąpienia programu SQL Server na platformie Windows Azure (IaaS) mogą być oferowane przez usługę Microsoft Update lub klienci mogą pobierać aktualizacje zabezpieczeń z Centrum pobierania Microsoft i stosować je ręcznie.

Czy ta aktualizacja zabezpieczeń zawiera jakiekolwiek zmiany niezwiązane z zabezpieczeniami dotyczące funkcjonalności?
Tak. Oprócz zmian związanych z zabezpieczeniami omówionych w sekcji Szczegóły luk w zabezpieczeniach w tym biuletynie aktualizacja zabezpieczeń zawiera również niektóre ważne poprawki niezwiązane z zabezpieczeniami. Aby uzyskać więcej informacji, zobacz artykuł bazy wiedzy Microsoft Knowledge Base 3065718.

Korzystam z programu Microsoft SQL Server 2014 z dodatkiem Service Pack 1, który nie jest wymieniony jako oprogramowanie, którego dotyczy problem. Dlaczego oferujem aktualizację?
Program Microsoft SQL Server 2014 z dodatkiem Service Pack 1 nie ma wpływu na luki w zabezpieczeniach omówione w tym biuletynie, ale podlega ważnej poprawki niezwiązanej z zabezpieczeniami, która jest zwalniana z tej aktualizacji zabezpieczeń. W związku z tym klienci z gałęzią GDR programu Microsoft SQL Server 2014 z dodatkiem Service Pack 1 będą oferować 3070446 aktualizacji niezwiązanych z zabezpieczeniami. Aby uzyskać ogólny opis aktualizacji niezwiązanej z zabezpieczeniami, zobacz artykuł bazy wiedzy Microsoft Knowledge Base 3070446. Aby uzyskać więcej informacji na temat poprawki niezwiązanej z zabezpieczeniami, zobacz artykuł bazy wiedzy Microsoft Knowledge Base 3067257.

Klasyfikacje ważności i identyfikatory luk w zabezpieczeniach

Następujące oceny ważności zakładają potencjalny maksymalny wpływ luki w zabezpieczeniach. Aby uzyskać informacje dotyczące prawdopodobieństwa, w ciągu 30 dni od wydania tego biuletynu zabezpieczeń, możliwości wykorzystania luki w zabezpieczeniach w odniesieniu do jej oceny ważności i wpływu na zabezpieczenia, zobacz indeks wykorzystania w lipcowym podsumowaniu biuletynu.

Ocena ważności luk w zabezpieczeniach i maksymalny wpływ na zabezpieczenia przez oprogramowanie, którego dotyczy problem
Oprogramowanie, którego dotyczy problem Luka w zabezpieczeniach dotycząca podniesienia uprawnień w programie SQL Server — CVE-2015-1761 Luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu w programie SQL Server — CVE-2015-1762 Luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu programu SQL Server — CVE-2015-1763 Ocena zagregowanej ważności
SQL Server 2008 z dodatkiem Service Pack 3
Microsoft SQL Server 2008 dla 32-bitowych systemów z dodatkiem Service Pack 3 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 3 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 dla systemów opartych na itanium z dodatkiem Service Pack 3 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2008 z dodatkiem Service Pack 4
Microsoft SQL Server 2008 dla systemów 32-bitowych z dodatkiem Service Pack 4 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 4 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2008 R2 z dodatkiem Service Pack 2
Microsoft SQL Server 2008 R2 dla 32-bitowych systemów z dodatkiem Service Pack 2 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 2 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 R2 dla systemów opartych na itanium z dodatkiem Service Pack 2 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2008 R2 z dodatkiem Service Pack 3
Microsoft SQL Server 2008 R2 dla 32-bitowych systemów z dodatkiem Service Pack 3 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2008 R2 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 3 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2012 z dodatkiem Service Pack 1
Microsoft SQL Server 2012 dla 32-bitowych systemów z dodatkiem Service Pack 1 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2012 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 1 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2012 z dodatkiem Service Pack 2
Microsoft SQL Server 2012 dla systemów 32-bitowych z dodatkiem Service Pack 2 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2012 dla systemów opartych na architekturze x64 z dodatkiem Service Pack 2 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
SQL Server 2014
Microsoft SQL Server 2014 dla systemów 32-bitowych Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny
Microsoft SQL Server 2014 dla systemów opartych na architekturze x64 Ważne podniesienie uprawnień Ważne zdalne wykonywanie kodu Ważne zdalne wykonywanie kodu Ważny

Informacje o lukach w zabezpieczeniach

Luka w zabezpieczeniach dotycząca podniesienia uprawnień w programie SQL Server — CVE-2015-1761

Luka w zabezpieczeniach dotycząca podniesienia uprawnień istnieje w programie Microsoft SQL Server, gdy nieprawidłowo rzutuje wskaźniki na niepoprawną klasę. Osoba atakująca może wykorzystać tę lukę w zabezpieczeniach, jeśli ich poświadczenia zezwalają na dostęp do bazy danych programu SQL Server, której dotyczy problem. Osoba atakująca, która pomyślnie wykorzystała tę lukę w zabezpieczeniach, może uzyskać podwyższone uprawnienia, których można użyć do wyświetlania, zmieniania lub usuwania danych; lub utwórz nowe konta.

Aktualizacja zabezpieczeń usuwa tę lukę w zabezpieczeniach, poprawiając sposób obsługi rzutowania wskaźnika przez program SQL Server.

Firma Microsoft otrzymała informacje o lukach w zabezpieczeniach poprzez skoordynowane ujawnienie luk w zabezpieczeniach. Po wydaniu tego biuletynu zabezpieczeń firma Microsoft nie otrzymała żadnych informacji wskazujących, że ta luka w zabezpieczeniach została publicznie wykorzystana do ataku na klientów.

Czynniki korygujące

Następujące czynniki korygujące mogą być pomocne w Twojej sytuacji:

  • Wymaga uprawnień do tworzenia lub modyfikowania schematu bazy danych lub danych
    Aby wykorzystać tę lukę w zabezpieczeniach, osoba atakująca musi mieć uprawnienia do tworzenia lub modyfikowania bazy danych.

Obejścia

Następujące obejścia mogą być przydatne w Twojej sytuacji:

  • Ograniczanie uprawnień na serwerze na potrzeby tworzenia bazy danych i schematu
    Ponieważ luka w zabezpieczeniach jest wykorzystywana tylko w kontekście bardzo konkretnego schematu, danych i zapytań bazy danych, wykorzystanie może być blokowane przez ścisłe kontrolowanie, kto ma uprawnienia do tworzenia baz danych i schematu na serwerze. Należy pamiętać, że luka w zabezpieczeniach jest widoczna w bardzo konkretnych przypadkach brzegowych; bardzo trudno jest zdefiniować schemat i zapytanie, które uwidoczniłoby lukę w zabezpieczeniach.

    Dodatkowe wskazówki: W mało prawdopodobnym przypadku, w przypadku którego program SQL Server powoduje błąd naruszenia dostępu/zapobiegania wykonywaniu danych podczas określonego wykonywania zapytania, zapisz je ponownie, dzieląc je na części i/lub dodając wskazówki dotyczące zapytań.

Luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu w programie SQL Server — CVE-2015-1762

Luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu istnieje w programie Microsoft SQL Server, gdy niepoprawnie obsługuje wywołania funkcji wewnętrznych do niezainicjowanej pamięci. Osoba atakująca może wykorzystać tę lukę w zabezpieczeniach, jeśli uprzywilejowany użytkownik uruchamia specjalnie spreparowane zapytanie na serwerze SQL, którego dotyczy problem, ma włączone specjalne ustawienia uprawnień (takie jak VIEW SERVER STATE). Osoba atakująca, która pomyślnie wykorzystała tę lukę w zabezpieczeniach, może przejąć pełną kontrolę nad systemem, którego dotyczy problem. Osoba atakująca może następnie zainstalować programy; wyświetlanie, zmienianie lub usuwanie danych; lub utwórz nowe konta.

Aktualizacja zabezpieczeń usuwa tę lukę w zabezpieczeniach, poprawiając sposób obsługi wywołań funkcji wewnętrznych przez program SQL Server w celu niezainicjowania pamięci.

Firma Microsoft otrzymała informacje o lukach w zabezpieczeniach poprzez skoordynowane ujawnienie luk w zabezpieczeniach. Po wydaniu tego biuletynu zabezpieczeń firma Microsoft nie otrzymała żadnych informacji wskazujących, że ta luka w zabezpieczeniach została publicznie wykorzystana do ataku na klientów.

Czynniki korygujące

Następujące czynniki korygujące mogą być pomocne w Twojej sytuacji:

Obejścia

Firma Microsoft nie zidentyfikowała żadnych obejść tej luki w zabezpieczeniach .

Luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu programu SQL Server — CVE-2015-1763

W programie Microsoft SQL Server istnieje uwierzytelniona luka w zabezpieczeniach dotycząca zdalnego wykonywania kodu, która niepoprawnie obsługuje wywołania funkcji wewnętrznych do niezainicjowanej pamięci. Osoba atakująca może wykorzystać tę lukę w zabezpieczeniach, jeśli uprzywilejowany użytkownik uruchamia specjalnie spreparowane zapytanie przeznaczone do wykonywania funkcji wirtualnej z nieprawidłowego adresu, co prowadzi do wywołania funkcji w niezainicjowanej pamięci. Osoba atakująca, która pomyślnie wykorzystała tę lukę w zabezpieczeniach, może przejąć pełną kontrolę nad systemem, którego dotyczy problem. Osoba atakująca może następnie zainstalować programy; wyświetlanie, zmienianie lub usuwanie danych; lub utwórz nowe konta.

Aktualizacja zabezpieczeń usuwa tę lukę w zabezpieczeniach, poprawiając sposób obsługi wywołań funkcji wewnętrznych przez program SQL Server w celu niezainicjowania pamięci.

Firma Microsoft otrzymała informacje o lukach w zabezpieczeniach poprzez skoordynowane ujawnienie luk w zabezpieczeniach. Po wydaniu tego biuletynu zabezpieczeń firma Microsoft nie otrzymała żadnych informacji wskazujących, że ta luka w zabezpieczeniach została publicznie wykorzystana do ataku na klientów.

Czynniki korygujące

Firma Microsoft nie zidentyfikowała żadnych czynników korygujących tę lukę w zabezpieczeniach.

Obejścia

Następujące obejścia mogą być przydatne w Twojej sytuacji:

  • Ograniczanie uprawnień na serwerze na potrzeby tworzenia bazy danych i schematu
    Ponieważ luka w zabezpieczeniach jest wykorzystywana tylko w kontekście bardzo konkretnego schematu, danych i zapytań bazy danych, wykorzystanie może być blokowane przez ścisłe kontrolowanie, kto ma uprawnienia do tworzenia baz danych i schematu na serwerze. Należy pamiętać, że luka w zabezpieczeniach jest widoczna w bardzo konkretnych przypadkach brzegowych; bardzo trudno jest zdefiniować schemat i zapytanie, które uwidoczniłoby lukę w zabezpieczeniach.

    Dodatkowe wskazówki: W mało prawdopodobnym przypadku, w przypadku którego program SQL Server powoduje błąd naruszenia dostępu/zapobiegania wykonywaniu danych podczas określonego wykonywania zapytania, zapisz je ponownie, dzieląc je na części i/lub dodając wskazówki dotyczące zapytań.

Wdrażanie aktualizacji zabezpieczeń

Aby uzyskać informacje o wdrażaniu aktualizacji zabezpieczeń, zobacz artykuł z bazy wiedzy Microsoft Knowledge Base, do których odwołuje się podsumowanie wykonawcze.

Podziękowania

Firma Microsoft uznaje wysiłki osób w społeczności zabezpieczeń, które pomagają nam chronić klientów poprzez skoordynowane ujawnienie luk w zabezpieczeniach. Aby uzyskać więcej informacji, zobacz Potwierdzenie .

Zastrzeżenie

Informacje podane w bazie wiedzy Microsoft Knowledge Base są dostarczane "tak, jak to jest" bez gwarancji jakiegokolwiek rodzaju. Firma Microsoft nie udziela wszelkich gwarancji, wyraźnych lub domniemanych, w tym gwarancji możliwości handlowych i przydatności do określonego celu. W żadnym wypadku Firma Microsoft Corporation lub jej dostawcy nie ponosi odpowiedzialności za wszelkie szkody, w tym bezpośrednie, pośrednie, przypadkowe, wtórne, utratę zysków biznesowych lub szkody specjalne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali poinformowani o możliwości takich szkód. Niektóre państwa nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody wtórne lub przypadkowe, więc powyższe ograniczenie może nie mieć zastosowania.

Poprawki

  • Wersja 1.0 (14 lipca 2015 r.): Opublikowano biuletyn.
  • Wersja 1.1 (22 lipca 2015 r.): Biuletyn poprawiony w celu ulepszenia sekcji Często zadawane pytania dotyczące aktualizacji w celu ułatwienia klientom łatwiejszego identyfikowania właściwej aktualizacji, która ma być stosowana na podstawie aktualnie zainstalowanej wersji programu SQL Server. Jest to tylko zmiana informacyjna. Klienci, którzy pomyślnie zainstalowali aktualizację, nie muszą podejmować żadnych działań.
  • Wersja 1.2 (9 grudnia 2015 r.): Biuletyn poprawiony w celu wyjaśnienia wskazówek dotyczących wersji produktu w sekcji Często zadawane pytania dotyczące aktualizacji, dostosowując go do wskazówek podanych we wcześniejszych wersjach. Jest to tylko zmiana informacyjna. Klienci, którzy pomyślnie zainstalowali aktualizację, nie muszą podejmować żadnych działań.

Strona wygenerowana 2015-12-09 11:11Z-08:00.