Microsoft Güvenlik Bülteni MS15-058 - Önemli

SQL Server'daki Güvenlik Açıkları Uzaktan Kod Yürütülmesine İzin Verebilir (3065718)

Yayımlanma Tarihi: 14 Temmuz 2015 | Güncelleştirme: 9 Aralık 2015

Sürüm: 1.2

Yönetici Özeti

Bu güvenlik güncelleştirmesi Microsoft SQL Server'daki güvenlik açıklarını giderir. Kimliği doğrulanmış bir saldırgan yanlış adresten bir sanal işlevi yürütmek için tasarlanmış özel olarak hazırlanmış bir sorgu çalıştırırsa, en ciddi güvenlik açıkları uzaktan kod yürütülmesine izin verebilir ve bu da başlatılmamış belleğe işlev çağrısına neden olabilir. Bu güvenlik açığından yararlanmak için bir saldırganın veritabanı oluşturma veya değiştirme izinlerine sahip olması gerekir.

Bu güvenlik güncelleştirmesi Microsoft SQL Server 2008, Microsoft SQL Server 2008 R2, Microsoft SQL Server 2012 ve Microsoft SQL Server 2014'ün desteklenen sürümleri için Önemli olarak derecelendirilmiştir. Daha fazla bilgi için Etkilenen Yazılım bölümüne bakın.

Güvenlik güncelleştirmesi, SQL Server'ın iç işlev çağrılarını ve işaretçi atamasını nasıl işlediğini düzelterek güvenlik açıklarını giderir. Güvenlik açıkları hakkında daha fazla bilgi için Güvenlik Açığı Bilgileri bölümüne bakın.

Bu güncelleştirme hakkında daha fazla bilgi için 3065718 Microsoft Bilgi Bankası makalesine bakın.

Etkilenen Yazılım

Aşağıdaki yazılım, hangi sürümlerin veya sürümlerin etkilendiğini belirlemek için test edilmiştir. Diğer sürümler veya sürümler destek yaşam döngüsünü geçmiştir veya etkilenmez. Yazılım sürümünüz veya sürümünüz için destek yaşam döngüsünü belirlemek için bkz. Microsoft Desteği Yaşam Döngüsü.

Etkilenen Yazılım 

GDR Yazılım Güncelleştirmeler QFE Yazılım Güncelleştirmeler En Yüksek Güvenlik Etkisi Toplam Önem Derecesi Güncelleştirmeler Değiştirildi
SQL Server 2008 Service Pack 3
32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045305) 32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045303) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045305) x64 tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045303) Uzaktan Kod Yürütme Önemli Hiçbiri
Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045305) Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 (3045303) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2008 Service Pack 4
32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 4 (3045311) 32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 4 (3045308) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 tabanlı Sistemler Için Microsoft SQL Server 2008 Service Pack 4 (3045311) x64 tabanlı Sistemler Için Microsoft SQL Server 2008 Service Pack 4 (3045308) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2008 R2 Service Pack 2
32 bit Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 2 (3045313) 32 bit Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 2 (3045312) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 tabanlı Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 2 (3045313) x64 tabanlı Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 2 (3045312) Uzaktan Kod Yürütme Önemli Hiçbiri
Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 R2 Service Pack 2 (3045313) Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 R2 Service Pack 2 (3045312) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2008 R2 Service Pack 3
32 bit Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 3 (3045316) 32 bit Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 3 (3045314) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 Tabanlı Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 3 (3045316) x64 tabanlı Sistemler Için Microsoft SQL Server 2008 R2 Service Pack 3 (3045314) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2012 Service Pack 1
32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 1 (3045318) 32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 1 (3045317) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 tabanlı Sistemler Için Microsoft SQL Server 2012 Service Pack 1 (3045318) x64 tabanlı Sistemler Için Microsoft SQL Server 2012 Service Pack 1 (3045317) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2012 Service Pack 2
32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 2 (3045321) 32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 2 (3045319) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 tabanlı Sistemler Için Microsoft SQL Server 2012 Service Pack 2 (3045321) x64 tabanlı Sistemler için Microsoft SQL Server 2012 Service Pack 2 (3045319) Uzaktan Kod Yürütme Önemli Hiçbiri
SQL Server 2014
32 bit Sistemler için Microsoft SQL Server 2014 (3045324) 32 bit Sistemler için Microsoft SQL Server 2014 (3045323) Uzaktan Kod Yürütme Önemli Hiçbiri
x64 Tabanlı Sistemler için Microsoft SQL Server 2014 (3045324) x64 tabanlı Sistemler için Microsoft SQL Server 2014 (3045323) Uzaktan Kod Yürütme Önemli Hiçbiri

Güncelleştirme hakkında SSS

SQL Server sürümüm için sunulan GDR ve/veya QFE güncelleştirmeleri var. Hangi güncelleştirmeyi kullanacağınızı Nasıl yaparım? biliyor musunuz?
İlk olarak SQL Server sürüm numaranızı belirleyin. SQL Server sürüm numaranızı belirleme hakkında daha fazla bilgi için 321185 Microsoft Bilgi Bankası Makalesi'ne bakın.

İkincisi, aşağıdaki tabloda sürüm numaranızı veya sürüm numaranızın içinde yer alan sürüm aralığını bulun. İlgili güncelleştirme, yüklemeniz gereken güncelleştirmedir.

Not SQL Server sürüm numaranız aşağıdaki tabloda gösterilmemişse SQL Server sürümünüz artık desteklenmez. Bu ve gelecekteki güvenlik güncelleştirmelerini uygulamak için lütfen en son Hizmet Paketine veya SQL Server ürününe yükseltin.

Güncelleştirme numarası Başlık Geçerli ürün sürümü... Bu güvenlik güncelleştirmesi ayrıca...
3045305 MS15-058: SQL Server 2008 Service Pack 3 GDR için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.00.5500.00 veya 10.00.5520.00 2008 SP3 GDR (MS14-044)
3045303 MS15-058: SQL Server 2008 Service Pack 3 QFE için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.00.5750. - 10.00.5869.00 2008 SP3 CU17
3045311 MS15-058: SQL Server 2008 Service Pack 4 GDR için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.0.6000.29 2008 SP4
3045308 MS15-058: SQL Server 2008 Service Pack 4 QFE için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.0.6500.00 - 10.0.6526.0 2008 SP4
3045313 MS15-058: SQL Server 2008 R2 Service Pack 2 GDR için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.50.4000.0 veya 10.50.4033.0 2008 R2 SP2 GDR (MS14-044)
3045312 MS15-058: SQL Server 2008 R2 Service Pack 2 QFE için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.50.4251.0 - 10.50.4331.0 2008 R2 SP2 CU13
3045316 MS15-058: SQL Server 2008 R2 Service Pack 3 GDR için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.50.6000.34 2008 R2 SP3
3045314 MS15-058: SQL Server 2008 R2 Service Pack 3 QFE için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 10.50.6500.0 - 10.50.6525.0 2008 R2 SP3
3045318 MS15-058: SQL Server 2012 SP1 GDR güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 11.0.3000.0 veya 11.0.3153.0 2012 SP1 GDR (MS14-044)
3045317 MS15-058: SQL Server 2012 SP1 QFE güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 11.0.3300.0 - 11.0.3492.0 2012 SP1 CU16
3045321 MS15-058: SQL Server 2012 Service Pack 2 GDR için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 11.0.5058.0 2012 SP2
3045319 MS15-058: SQL Server 2012 Service Pack 2 QFE için güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 11.0.5500.0 - 11.0.5592.0 2012 SP2 CU6
3045324 MS15-058: SQL Server 2014 GDR güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 12.0.2000.8 veya 12.0.2254.0 2014 RTM GDR (MS14-044)
3045323 MS15-058: SQL Server 2014 QFE güvenlik güncelleştirmesinin açıklaması: 14 Temmuz 2015 12.0.2300.0 - 12.0.2546.0 2014 RTM CU8
3070446 MS15-058: SQL Server 2014 Service Pack 1 GDR için güvenlikle ilgili olmayan güncelleştirmenin açıklaması: 14 Temmuz 2015 12.0.4100.1 2014 SP1

Not GDR dalı için, güncelleştirmeyi uyguladıktan sonra veritabanı yükseltme betiği yürütmesini görmezsiniz. Bu beklenen davranıştır çünkü düzeltme eki yalnızca ikili dosyaların yerini alır.

Ek yükleme yönergeleri için Güncelleştirme Bilgileri bölümündeki SQL Server sürümünüz için Güvenlik Güncelleştirmesi Bilgileri alt bölümüne bakın.

GDR ve QFE güncelleştirme belirlemeleri nelerdir ve nasıl farklılık gösterir?
Genel Dağıtım Sürümü (GDR) ve Hızlı Düzeltme Mühendisliği (QFE) atamaları, SQL Server için mevcut iki farklı güncelleştirme hizmeti dallarına karşılık gelir. İkisi arasındaki birincil fark, QFE dallarının tüm güncelleştirmeleri toplu olarak içermesi, GDR dallarının ise yalnızca belirli bir temel için güvenlik güncelleştirmelerini içermesidir. Temel, ilk RTM sürümü veya Hizmet Paketi olabilir.

Belirli bir temel için, temeldeyseniz veya bu temel için önceki bir GDR güncelleştirmesi yüklediyseniz GDR veya QFE dal güncelleştirmeleri seçeneklerdir. QFE dalı, üzerinde olduğunuz temel için önceki bir QFE yüklediyseniz tek seçenektir.

Bu güvenlik güncelleştirmeleri SQL Server kümelerine sunulacak mı? 
Evet. Güncelleştirmeler ayrıca kümelenmiş SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 ve SQL Server 2014 örneklerine de sunulacaktır. SQL Server kümeleri için Güncelleştirmeler kullanıcı etkileşimi gerektirir.

SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 veya SQL Server 2014 kümesi pasif düğüme sahipse, kapalı kalma süresini azaltmak için Microsoft güncelleştirmeyi önce taramanızı ve etkin olmayan düğüme uygulamanızı, ardından taramanızı ve etkin düğüme uygulamanızı önerir. Tüm bileşenler tüm düğümlerde güncelleştirildiğinde, güncelleştirme artık sunulmaz.

Güvenlik güncelleştirmeleri Windows Azure'da (IaaS) SQL Server örneklerine uygulanabilir mi?
Evet. Windows Azure'da (IaaS) SQL Server örnekleri, güvenlik güncelleştirmelerini Microsoft Update aracılığıyla sunabilir veya müşteriler güvenlik güncelleştirmelerini Microsoft İndirme Merkezi'nden indirip el ile uygulayabilir.

Bu güvenlik güncelleştirmesi işlevsellikte güvenlikle ilgili olmayan değişiklikler içeriyor mu?
Evet. Bu bültenin Güvenlik Açığı Ayrıntıları bölümünde açıklanan güvenlikle ilgili değişikliklere ek olarak, güvenlik güncelleştirmesi bazı önemli güvenlikle ilgili olmayan düzeltmeleri de içerir. Daha fazla bilgi için 3065718 Microsoft Bilgi Bankası makalesine bakın.

Etkilenen yazılım olarak listelenmeyen Microsoft SQL Server 2014 Service Pack 1'i çalıştırıyorum. Neden güncelleştirme teklifi alıyorum?
Microsoft SQL Server 2014 Service Pack 1, bu bültende açıklanan güvenlik açıklarından etkilenmez, ancak bu güvenlik güncelleştirmesi ile yayımlanan önemli bir güvenlikle ilgili olmayan düzeltmeye tabidir. Bu nedenle, Microsoft SQL Server 2014 Service Pack 1'in GDR dalını çalıştıran müşterilere güvenlikle ilgili olmayan güncelleştirme 3070446 sunulacaktır. Güvenlikle ilgili olmayan güncelleştirmenin genel açıklaması için bkz . Microsoft Bilgi Bankası makalesi 3070446. Güvenlikle ilgili olmayan düzeltme hakkında daha fazla bilgi için 3067257 Microsoft Bilgi Bankası makalesine bakın.

Önem Derecesi Ve Güvenlik Açığı Tanımlayıcıları

Aşağıdaki önem derecesi, güvenlik açığının olası en yüksek etkisini varsayar. Bu güvenlik bülteninin yayımlanmasının ardından 30 gün içinde güvenlik açığının önem derecesi ve güvenlik etkisiyle ilgili olarak kötüye kullanımı olasılığıyla ilgili bilgi için temmuz bülteni özetindeki Exploitability Index bölümüne bakın.

Güvenlik Açığı Önem Derecesi ve Etkilenen Yazılımların En Yüksek Güvenlik Etkisi
Etkilenen Yazılım SQL Server Ayrıcalıkların Yükseltilmesi Güvenlik Açığı - CVE-2015-1761 SQL Server Uzaktan Kod Yürütme Güvenlik Açığı - CVE-2015-1762 SQL Server Uzaktan Kod Yürütme Güvenlik Açığı - CVE-2015-1763 Toplam Önem Derecesi
SQL Server 2008 Service Pack 3
32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 3 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 3 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2008 Service Pack 4
32 bit Sistemler için Microsoft SQL Server 2008 Service Pack 4 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2008 Service Pack 4 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2008 R2 Service Pack 2
32 bit Sistemler için Microsoft SQL Server 2008 R2 Service Pack 2 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2008 R2 Service Pack 2 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
Itanium Tabanlı Sistemler için Microsoft SQL Server 2008 R2 Service Pack 2 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2008 R2 Service Pack 3
32 bit Sistemler için Microsoft SQL Server 2008 R2 Service Pack 3 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2008 R2 Service Pack 3 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2012 Service Pack 1
32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 1 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2012 Service Pack 1 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2012 Service Pack 2
32 bit Sistemler için Microsoft SQL Server 2012 Service Pack 2 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı Sistemler için Microsoft SQL Server 2012 Service Pack 2 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
SQL Server 2014
32 bit Sistemler için Microsoft SQL Server 2014 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli
x64 tabanlı sistemler için Microsoft SQL Server 2014 Önemli Ayrıcalık Yükseltmesi Önemli Uzaktan Kod Yürütme Önemli Uzaktan Kod Yürütme Önemli

Güvenlik Açığı Bilgileri

SQL Server Ayrıcalıkların Yükseltilmesi Güvenlik Açığı - CVE-2015-1761

Microsoft SQL Server'da, işaretçileri yanlış bir sınıfa hatalı şekilde yayınladığında ayrıcalıkların yükseltilmesi güvenlik açığı vardır. Saldırgan, kimlik bilgileri etkilenen bir SQL server veritabanına erişime izin verirse bu güvenlik açığından yararlanabilir. Bu güvenlik açığından başarıyla yararlanan bir saldırgan verileri görüntülemek, değiştirmek veya silmek için kullanılabilecek yükseltilmiş ayrıcalıklar elde edebilir; veya yeni hesaplar oluşturun.

Güvenlik güncelleştirmesi, SQL Server'ın işaretçi atamayı nasıl işlediğini düzelterek güvenlik açığını giderir.

Microsoft, güvenlik açığının eşgüdümlü olarak açığa çıkması yoluyla güvenlik açığı hakkında bilgi aldı. Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığının müşterilere saldırmak için herkese açık olarak kullanıldığını belirten herhangi bir bilgi almamıştı.

Azaltıcı Faktörler

Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:

  • Veritabanı şemasını veya verilerini oluşturmak veya değiştirmek için izinler gerektirir
    Bu güvenlik açığından yararlanmak için bir saldırganın veritabanı oluşturma veya değiştirme izinlerine sahip olması gerekir.

Geçici Çözümler

Aşağıdaki geçici çözümler sizin durumunuz için yararlı olabilir:

  • Veritabanı ve şema oluşturma için sunucuda izinleri sınırlama
    Güvenlik açığından yalnızca çok belirli veritabanı şeması, verileri ve sorguları bağlamında yararlanılabilir olduğundan, sunucuda veritabanı ve şema oluşturma izinlerine sahip olan kişiler sıkı bir şekilde denetlenerek açıklardan yararlanma önlenebilir. Güvenlik açığının çok belirli uç durumlarda ortaya çıkarıldığını unutmayın; güvenlik açığını ortaya çıkaracak şemayı ve sorguyu tanımlamak son derece zordur.

    Ek rehberlik: SQL Server'ın belirli bir sorgu yürütme sırasında erişim ihlali / veri yürütme önleme hatasına neden olması olası olmayan bir durumda, sorguyu bölümlere ayırarak ve/veya sorgu ipuçları ekleyerek yeniden yazın.

SQL Server Uzaktan Kod Yürütme Güvenlik Açığı - CVE-2015-1762

Microsoft SQL Server'da başlatılmamış belleğe yönelik iç işlev çağrılarını yanlış işlediğinde bir uzaktan kod yürütme güvenlik açığı vardır. Ayrıcalıklı bir kullanıcı özel izin ayarları (ÖRNEĞIN, SUNUCU DURUMUNU GÖRÜNTÜLE) açık olan etkilenen bir SQL sunucusunda özel olarak hazırlanmış bir sorgu çalıştırırsa saldırgan bu güvenlik açığından yararlanabilir. Bu güvenlik açığından başarıyla yararlanan bir saldırgan, etkilenen sistemin tam denetimini alabilir. Bir saldırgan daha sonra programları yükleyebilir; verileri görüntüleme, değiştirme veya silme; veya yeni hesaplar oluşturun.

Güvenlik güncelleştirmesi, SQL Server'ın başlatılmamış belleğe yönelik iç işlev çağrılarını nasıl işlediğini düzelterek bu güvenlik açığını giderir.

Microsoft, güvenlik açığının eşgüdümlü olarak açığa çıkması yoluyla güvenlik açığı hakkında bilgi aldı. Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığının müşterilere saldırmak için herkese açık olarak kullanıldığını belirten herhangi bir bilgi almamıştı.

Azaltıcı Faktörler

Aşağıdaki hafifletici faktörler sizin durumunuzda yararlı olabilir:

  • Belirli bir yapılandırma gerektirir
    Bu güvenlik açığından yararlanmak için işlem çoğaltmasının etkinleştirilmesi ve saldırganın özel izin ayarlarının (ÖRNEĞIN, SUNUCU DURUMUNU GÖRÜNTÜLE) açık olması gerekir.

Geçici Çözümler

Microsoft bu güvenlik açığı için herhangi bir geçici çözüm tanımlamamıştır.

SQL Server Uzaktan Kod Yürütme Güvenlik Açığı - CVE-2015-1763

Başlatılmamış belleğe yönelik iç işlev çağrılarını yanlış işlediğinde Microsoft SQL Server'da kimliği doğrulanmış bir uzaktan kod yürütme güvenlik açığı vardır. Ayrıcalıklı bir kullanıcı, sanal işlevi yanlış bir adresten yürütmek için tasarlanmış özel olarak hazırlanmış bir sorgu çalıştırdığında ve başlatılmamış belleğe işlev çağrısına neden olursa saldırgan bu güvenlik açığından yararlanabilir. Bu güvenlik açığından başarıyla yararlanan bir saldırgan, etkilenen sistemin tam denetimini alabilir. Bir saldırgan daha sonra programları yükleyebilir; verileri görüntüleme, değiştirme veya silme; veya yeni hesaplar oluşturun.

Güvenlik güncelleştirmesi, SQL Server'ın başlatılmamış belleğe yönelik iç işlev çağrılarını nasıl işlediğini düzelterek bu güvenlik açığını giderir.

Microsoft, güvenlik açığının eşgüdümlü olarak açığa çıkması yoluyla güvenlik açığı hakkında bilgi aldı. Bu güvenlik bülteni yayımlandığında, Microsoft bu güvenlik açığının müşterilere saldırmak için herkese açık olarak kullanıldığını belirten herhangi bir bilgi almamıştı.

Azaltıcı Faktörler

Microsoft bu güvenlik açığı için herhangi bir azaltıcı faktör belirlememiştir.

Geçici Çözümler

Aşağıdaki geçici çözümler sizin durumunuz için yararlı olabilir:

  • Veritabanı ve şema oluşturma için sunucuda izinleri sınırlama
    Güvenlik açığından yalnızca çok belirli veritabanı şeması, verileri ve sorguları bağlamında yararlanılabilir olduğundan, sunucuda veritabanı ve şema oluşturma izinlerine sahip olan kişiler sıkı bir şekilde denetlenerek açıklardan yararlanma önlenebilir. Güvenlik açığının çok belirli uç durumlarda ortaya çıkarıldığını unutmayın; güvenlik açığını ortaya çıkaracak şemayı ve sorguyu tanımlamak son derece zordur.

    Ek rehberlik: SQL Server'ın belirli bir sorgu yürütme sırasında erişim ihlali / veri yürütme önleme hatasına neden olması olası olmayan bir durumda, sorguyu bölümlere ayırarak ve/veya sorgu ipuçları ekleyerek yeniden yazın.

Güvenlik Güncelleştirmesi Dağıtımı

Güvenlik Güncelleştirmesi Dağıtımı bilgileri için, Yönetici Özeti'nde başvuruda bulunan Microsoft Bilgi Bankası makalesine bakın.

İlgili kaynaklar

Microsoft, güvenlik topluluğundaki müşterilerin eşgüdümlü güvenlik açığının açığa çıkması yoluyla korunmasına yardımcı olan kişilerin çabalarını tanır. Daha fazla bilgi için bkz . Bildirimler .

Bildirim

Microsoft Bilgi Bankası'nda sağlanan bilgiler herhangi bir garanti olmadan "olduğu gibi" sağlanır. Microsoft, satılabilirlik ve belirli bir amaca uygunluk garantileri dahil olmak üzere açık veya zımni tüm garantileri reddeder. Microsoft Corporation veya tedarikçilerine bu tür zararlar olabileceği bildirilmiş olsa bile, doğrudan, dolaylı, arızi, neticede iş kârı kaybı veya özel zararlar dahil olmak üzere hiçbir durumda Microsoft Corporation veya tedarikçileri herhangi bir zarardan sorumlu tutulamaz. Bazı eyaletler, ortaya çıkabilecek veya arızi zararlar için sorumluluğun hariç tutulmasına veya sınırlandırılmasına izin vermez, bu nedenle söz konusu sınırlama geçerli olmayabilir.

Düzeltmeler

  • V1.0 (14 Temmuz 2015): Bülten yayımlandı.
  • V1.1 (22 Temmuz 2015): Bülten, müşterilerin sql Server'ın şu anda yüklü olan bir sürümüne göre uygulanacak doğru güncelleştirmeyi daha kolay belirlemesine yardımcı olmak için Güncelleştirme SSS bölümünü geliştirmek üzere yeniden düzenlendi. Bu yalnızca bilgilendirme amaçlı bir değişikliktir. Güncelleştirmeyi başarıyla yüklemiş olan müşterilerin herhangi bir işlem yapması gerekmez.
  • V1.2 (9 Aralık 2015): Bülten, önceki sürümlerde sağlanan yönergelerle uyumlu hale getirerek Güncelleştirme SSS bölümündeki ürün sürümü kılavuzunu netleştirmek için düzeltildi. Bu yalnızca bilgilendirme amaçlı bir değişikliktir. Güncelleştirmeyi başarıyla yüklemiş olan müşterilerin herhangi bir işlem yapması gerekmez.

Sayfa oluşturuldu 2015-12-09 11:11Z-08:00.