Microsoft Security Bulletin MS15-058 - Importante

Vulnerabilidades no SQL Server podem permitir a execução remota de código (3065718)

Publicado: terça-feira, 14 de julho de 2015 | Atualizado: December 9, 2015

Versão: 1.2

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft SQL Server. As vulnerabilidades mais graves podem permitir a execução remota de código se um invasor autenticado executar uma consulta especialmente criada projetada para executar uma função virtual a partir de um endereço errado, levando a uma chamada de função para a memória não inicializada. Para explorar essa vulnerabilidade, um invasor precisaria de permissões para criar ou modificar um banco de dados.

Esta atualização de segurança é classificada como Importante para edições com suporte do Microsoft SQL Server 2008, Microsoft SQL Server 2008 R2, Microsoft SQL Server 2012 e Microsoft SQL Server 2014. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades corrigindo como o SQL Server lida com chamadas de função internas e conversão de ponteiro. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3065718 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

O software a seguir foi testado para determinar quais versões ou edições são afetadas. Outras versões ou edições já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Softwares afetados 

Perguntas frequentes sobre atualizações

Há atualizações GDR e/ou QFE oferecidas para minha versão do SQL Server. Como saber qual atualização usar?
Primeiro, determine o número da versão do SQL Server. Para obter mais informações sobre como determinar o número da versão do SQL Server, consulte o artigo 321185 da Base de Dados de Conhecimento Microsoft.

Em segundo lugar, na tabela abaixo, localize o número da versão ou o intervalo de versões no qual o número da versão se encaixa. A atualização correspondente é a que você precisa instalar.

Observação Se o número da versão do SQL Server não estiver representado na tabela abaixo, a versão do SQL Server não terá mais suporte. Atualize para o Service Pack ou produto SQL Server mais recente para aplicar esta e futuras atualizações de segurança.

Observação Para a ramificação GDR, depois de aplicar a atualização, você não verá a execução do script de atualização do banco de dados. Esse é o comportamento esperado, já que o patch substitui apenas os arquivos binários.

Para obter instruções de instalação adicionais, consulte a subseção Informações de atualização de segurança para sua edição do SQL Server na seção Informações de atualização.

Quais são as designações de atualização GDR e QFE e como elas diferem?
As designações GDR (General Distribution Release) e QFE (Quick Fix Engineering) correspondem às duas ramificações de serviço de atualização diferentes em vigor para o SQL Server. A principal diferença entre os dois é que as ramificações QFE incluem cumulativamente todas as atualizações, enquanto as ramificações GDR incluem apenas atualizações de segurança para uma determinada linha de base. Uma linha de base pode ser a versão RTM inicial ou um Service Pack.

Para qualquer linha de base específica, as atualizações de ramificação GDR ou QFE são opções se você estiver na linha de base ou tiver instalado uma atualização GDR anterior para essa linha de base. A ramificação do QFE é a única opção se você tiver instalado um QFE anterior para a linha de base em que você está.

Essas atualizações de segurança serão oferecidas a clusters do SQL Server? 
Sim. As atualizações também serão oferecidas para instâncias do SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 e SQL Server 2014 que estão em cluster. As atualizações para clusters do SQL Server exigirão interação do usuário.

Se o cluster do SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 ou SQL Server 2014 tiver um nó passivo, para reduzir o tempo de inatividade, a Microsoft recomenda que você verifique e aplique a atualização ao nó inativo primeiro, depois faça a varredura e aplique-a ao nó ativo. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.

As atualizações de segurança podem ser aplicadas a instâncias do SQL Server no Windows Azure (IaaS)?
Sim. As instâncias do SQL Server no Windows Azure (IaaS) podem receber as atualizações de segurança por meio do Microsoft Update ou os clientes podem baixar as atualizações de segurança do Centro de Download da Microsoft e aplicá-las manualmente.

Esta atualização de segurança contém alguma alteração de funcionalidade não relacionada à segurança?
Sim. Além das alterações relacionadas à segurança discutidas na seção Detalhes da vulnerabilidade deste boletim, a atualização de segurança também inclui algumas correções importantes não relacionadas à segurança. Para obter mais informações, consulte o artigo 3065718 da Base de Dados de Conhecimento Microsoft.

Estou executando o Microsoft SQL Server 2014 Service Pack 1, que não está listado como software afetado. Por que está sendo oferecida uma atualização?
O Microsoft SQL Server 2014 Service Pack 1 não é afetado pelas vulnerabilidades discutidas neste boletim, mas está sujeito a uma importante correção não relacionada à segurança que está sendo lançada com esta atualização de segurança. Portanto, os clientes que executam a ramificação GDR do Microsoft SQL Server 2014 Service Pack 1 receberão 3070446 de atualização não relacionadas à segurança. Para obter uma descrição geral da atualização não relacionada à segurança, consulte o Artigo 3070446 (em inglês) da Microsoft Knowledge Base. Para obter mais informações sobre a correção não relacionada à segurança, consulte o Artigo 3067257 (em inglês) da Microsoft Knowledge Base.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de julho.

Informações de vulnerabilidade

Vulnerabilidade de elevação de privilégio do SQL Server - CVE-2015-1761

Existe uma vulnerabilidade de elevação de privilégio no Microsoft SQL Server quando ele converte incorretamente ponteiros para uma classe incorreta. Um invasor pode explorar a vulnerabilidade se suas credenciais permitirem acesso a um banco de dados SQL Server afetado. Um invasor que explorar com êxito essa vulnerabilidade poderá obter privilégios elevados que poderão ser usados para exibir, alterar ou excluir dados; ou criar novas contas.

A atualização de segurança elimina a vulnerabilidade corrigindo como o SQL Server manipula a conversão de ponteiros.

A Microsoft recebeu informações sobre a vulnerabilidade por meio da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Requer permissões para criar ou modificar dados ou esquema de banco de dados
  Para explorar essa vulnerabilidade, um invasor precisaria de permissões para criar ou modificar um banco de dados.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Limitar permissões no servidor para criação de banco de dados e esquema
  Como a vulnerabilidade só pode ser explorada no contexto de esquemas de banco de dados, dados e consultas muito específicos, a exploração pode ser evitada controlando estritamente quem tem permissões para criar bancos de dados e esquemas no servidor. Observe que a vulnerabilidade é exposta em casos de borda muito específicos; É extremamente difícil definir o esquema e a consulta que exporiam a vulnerabilidade.

  Orientação adicional: no caso improvável de o SQL Server causar um erro de violação de acesso/prevenção de execução de dados durante a execução de uma consulta específica, reescreva a consulta dividindo-a em partes e/ou adicionando dicas de consulta.

Vulnerabilidade de execução remota de código do SQL Server - CVE-2015-1762

Existe uma vulnerabilidade de execução remota de código no Microsoft SQL Server quando ele manipula incorretamente chamadas de função interna para memória não inicializada. Um invasor pode explorar a vulnerabilidade se um usuário privilegiado executar uma consulta especialmente criada em um servidor SQL afetado que tenha configurações de permissão especiais (como VIEW SERVER STATE) ativadas. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas.

A atualização de segurança elimina a vulnerabilidade corrigindo como o SQL Server manipula chamadas de função internas para memória não inicializada.

A Microsoft recebeu informações sobre a vulnerabilidade por meio da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Requer configuração específica
  Para explorar essa vulnerabilidade , a replicação transacional deve estar habilitada e o invasor deve ter configurações de permissão especiais (como VIEW SERVER STATE) ativadas.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de execução remota de código do SQL Server - CVE-2015-1763

Existe uma vulnerabilidade de execução remota de código autenticado no Microsoft SQL Server quando ele manipula incorretamente chamadas de função interna para memória não inicializada. Um invasor pode explorar a vulnerabilidade se um usuário privilegiado executar uma consulta especialmente criada projetada para executar uma função virtual a partir de um endereço errado, levando a uma chamada de função para a memória não inicializada. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas.

A atualização de segurança elimina a vulnerabilidade corrigindo como o SQL Server manipula chamadas de função internas para memória não inicializada.

A Microsoft recebeu informações sobre a vulnerabilidade por meio da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Limitar permissões no servidor para criação de banco de dados e esquema
  Como a vulnerabilidade só pode ser explorada no contexto de esquemas de banco de dados, dados e consultas muito específicos, a exploração pode ser evitada controlando estritamente quem tem permissões para criar bancos de dados e esquemas no servidor. Observe que a vulnerabilidade é exposta em casos de borda muito específicos; É extremamente difícil definir o esquema e a consulta que exporiam a vulnerabilidade.

  Orientação adicional: no caso improvável de o SQL Server causar um erro de violação de acesso/prevenção de execução de dados durante a execução de uma consulta específica, reescreva a consulta dividindo-a em partes e/ou adicionando dicas de consulta.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (14 de julho de 2015): Boletim publicado.
• V1.1 (22 de julho de 2015): Boletim revisado para melhorar a seção Perguntas frequentes sobre atualizações para ajudar os clientes a identificar mais facilmente a atualização correta a ser aplicada com base em uma versão atualmente instalada do SQL Server. Esta é apenas uma alteração informativa. Os clientes que já instalaram a atualização com êxito não precisam executar nenhuma ação.
• V1.2 (9 de dezembro de 2015): Boletim revisado para esclarecer as diretrizes de versão do produto na seção Perguntas frequentes sobre atualizações, alinhando-as com as diretrizes fornecidas em versões anteriores. Esta é apenas uma alteração informativa. Os clientes que já instalaram a atualização com êxito não precisam executar nenhuma ação.

Página gerada em 09/12/2015 11:11Z-08:00.