Microsoft Security Bulletin MS16-136 – Viktigt
Säkerhetsuppdatering för SQL Server (3199641)
Publicerad: 8 november 2016
Version: 1.0
Sammanfattning
Den här säkerhetsuppdateringen löser säkerhetsrisker i Microsoft SQL Server. De allvarligaste säkerhetsriskerna kan göra det möjligt för en angripare att få utökade privilegier som kan användas för att visa, ändra eller ta bort data. eller skapa nya konton. Säkerhetsuppdateringen åtgärdar dessa allvarligaste säkerhetsrisker genom att korrigera hur SQL Server hanterar pekargjutning.
Den här säkerhetsuppdateringen klassificeras som Viktig för versioner av Microsoft SQL Server 2012 Service Pack 2 och 3, Microsoft SQL Server 2014 Service Pack 1 och 2 och Microsoft SQL Server 2016. Mer information finns i avsnittet Berörd programvara .
Mer information om säkerhetsriskerna finns i avsnittet Sårbarhetsinformation .
Mer information om den här uppdateringen finns i Microsoft Knowledge Base-artikeln 3199641.
Programvara som påverkas
Följande programvara har testats för att avgöra vilka versioner eller utgåvor som påverkas. Andra versioner eller utgåvor har antingen passerat sin supportlivscykel eller påverkas inte. Information om hur du fastställer supportlivscykeln för din programvaruversion eller utgåva finns i Microsoft Support Lifecycle.
Programvara som påverkas
Vanliga frågor och svar om uppdatering
Det finns GDR- och/eller CU-uppdateringar (kumulativ uppdatering) för min version av SQL Server. Hur gör jag för att vet vilken uppdatering som ska användas?
Bestäm först versionsnumret för SQL Server. Mer information om hur du bestämmer ditt SQL Server-versionsnummer finns i Microsoft Knowledge Base-artikeln 321185.
För det andra letar du upp versionsnumret eller versionsintervallet som versionsnumret ligger inom i tabellen nedan. Motsvarande uppdatering är den som du behöver installera.
Obs! Om ditt SQL Server-versionsnummer inte visas i tabellen nedan stöds inte längre SQL Server-versionen. Uppgradera till den senaste Service Pack- eller SQL Server-produkten för att tillämpa dessa och framtida säkerhetsuppdateringar.
| Uppdateringsnummer | Title | Använd om den aktuella produktversionen är... | Den här säkerhetsuppdateringen innehåller även serviceutgåvor via... |
|---|---|---|---|
| 3194719 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2012 SP2 GDR: 8 november 2016 | 11.0.5058.0 - 11.0.5387.0 | MS15-058 |
| 3194725 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2012 SP2 CU: 8 november 2016 | 11.0.5500.0 - 11.0.5675.0 | SQL Server 2012 SP2 CU15 |
| 3194721 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2012 Service Pack 3 GDR: 8 november 2016 | 11.0.6020.0 - 11.0.6247.0 | SQL Server 2012 SP3 |
| 3194724 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2012 Service Pack 3 CU: 8 november 2016 | 11.0.6300.0 - 11.0.6566.0 | SQL Server 2012 SP3 CU6 |
| 3194720 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2014 Service Pack 1 GDR: 8 november 2016 | 12.0.4100.0 - 12.0.4231.0 | Viktig uppdatering för SQL Server 2014 SP1 (KB3070446) |
| 3194722 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2014 Service Pack 1 CU: 8 november 2016 | 12.0.4400.0 - 12.0.4486.0 | SQL Server 2014 SP1 CU9 |
| 3194714 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2014 Service Pack 2 GDR: 8 november 2016 | 12.0.5000.0 - 12.0.5202.0 | SQL Server 2014 SP2 |
| 3194718 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2014 Service Pack 2 CU: 8 november 2016 | 12.0.5400.0 - 12.0.5531.0 | SQL Server 2014 SP2 CU2 |
| 3194716 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2016 GDR: 8 november 2016 | 13.0.1605.0 - 13.0.1721.0 | Kritisk uppdatering för SQL Server 2016 Analysis Services (KB3179258) |
| 3194717 | MS16-136: Beskrivning av säkerhetsuppdateringen för SQL Server 2016 CU: 8 november 2016 | 13.0.2100.0 - 13.0.2182.0 | SQL Server 2016 CU3 |
Ytterligare installationsinstruktioner finns i avsnittet Säkerhetsuppdateringsinformation för SQL Server-utgåvan i avsnittet Uppdateringsinformation .
Vilka är GDR- och CU-uppdateringsbeteckningarna och hur skiljer de sig åt?
Beteckningarna General Distribution Release (GDR) och Cumulative Update (CU) motsvarar de två olika uppdateringsunderhållsgrenarna för SQL Server. Den primära skillnaden mellan de två är att CU-grenar kumulativt inkluderar alla uppdateringar för en viss baslinje, medan GDR-grenar endast innehåller kumulativa kritiska uppdateringar för en viss baslinje. En baslinje kan vara den första RTM-versionen eller ett Service Pack.
För en viss baslinje är antingen GDR- eller CU-grenuppdateringarna alternativ om du befinner dig vid baslinjen eller bara har installerat en tidigare GDR-uppdatering för baslinjen. CU-grenen är det enda alternativet om du har installerat en tidigare SQL Server CU för baslinjen som du är på.
Kommer dessa säkerhetsuppdateringar att erbjudas SQL Server-kluster?
Ja. Uppdateringarna erbjuds även till SQL Server 2012 SP2/SP3, SQL Server 2014 SP1/SP2 och SQL Server 2016 RTM-instanser som är klustrade. Uppdateringar för SQL Server-kluster kräver användarinteraktion.
Om SQL Server 2012 SP2/SP3, SQL Server 2014 SP1/SP2 och SQL Server 2016 RTM-klustret har en passiv nod, för att minska stilleståndstiden, rekommenderar Microsoft att du söker igenom och tillämpar uppdateringen på den inaktiva noden först och sedan söker igenom och tillämpar den på den aktiva noden. När alla komponenter har uppdaterats på alla noder erbjuds inte längre uppdateringen.
Kan säkerhetsuppdateringarna tillämpas på SQL Server-instanser i Windows Azure (IaaS)?
Ja. SQL Server-instanser i Windows Azure (IaaS) kan erbjudas säkerhetsuppdateringar via Microsoft Update, eller så kan kunder ladda ned säkerhetsuppdateringarna från Microsoft Download Center och tillämpa dem manuellt.
Allvarlighetsgradsklassificeringar och sårbarhetsidentifierare
Följande allvarlighetsgradsklassificeringar förutsätter den potentiella maximala effekten av sårbarheten. Information om sannolikheten, inom 30 dagar efter att säkerhetsbulletinen har släppts, för sårbarhetens sårbarhets exploaterbarhet i förhållande till dess allvarlighetsgrad och säkerhetspåverkan, finns i sammanfattningen av sårbarhetsindexet för november.
| Allvarlighetsgrad för sårbarhet och maximal säkerhetspåverkan av påverkad programvara | ||||||
|---|---|---|---|---|---|---|
| Programvara som påverkas | SQL RDBMS Engine EoP-sårbarhet – CVE-2016-7249 | SQL RDBMS Engine EoP-sårbarhet – CVE-2016-7250 | SQL RDBMS Engine EoP-sårbarhet – CVE-2016-7254 | MDS API XSS-sårbarhet – CVE-2016-7251 | Sårbarhet för information om SQL Analysis Services – CVE-2016-7252 | Höjning av säkerhetsrisk för SQL Server-agent – CVE-2016-7253 |
| SQL Server 2012 Service Pack 2 | ||||||
| Microsoft SQL Server 2012 för 32-bitars system Service Pack 2 | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning |
| Microsoft SQL Server 2012 för x64-baserade System Service Pack 2 | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning |
| SQL Server 2012 Service Pack 3 | ||||||
| Microsoft SQL Server 2012 för 32-bitars system Service Pack 3 | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning |
| Microsoft SQL Server 2012 för x64-baserade System Service Pack 3 | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Ej tillämpligt | Viktig behörighetshöjning |
| SQL Server 2014 Service Pack 1 | ||||||
| Microsoft SQL Server 2014 Service Pack 1 för 32-bitarssystem | Inte tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Saknas | Ej tillämpligt | Viktig behörighetshöjning |
| Microsoft SQL Server 2014 Service Pack 1 för x64-baserade system | Inte tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Saknas | Ej tillämpligt | Viktig behörighetshöjning |
| SQL Server 2014 Service Pack 2 | ||||||
| Microsoft SQL Server 2014 Service Pack 2 för 32-bitarssystem | Inte tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Saknas | Ej tillämpligt | Viktig behörighetshöjning |
| Microsoft SQL Server 2014 Service Pack 2 för x64-baserade system | Inte tillämpligt | Viktig behörighetshöjning | Ej tillämpligt | Saknas | Ej tillämpligt | Viktig behörighetshöjning |
| SQL Server 2016 | ||||||
| Microsoft SQL Server 2016 för x64-baserade system | Viktig behörighetshöjning | Viktig behörighetshöjning | Inte tillämpligt | Viktig behörighetshöjning | Viktigt \ Informationsupplysning | Inte tillämpligt |
Information om säkerhetsrisker
Flera SQL RDBMS-motorns utökade privilegier
Höjning av sårbarheter för privilegier finns i Microsoft SQL Server när den felaktigt hanterar pekaregjutning. En angripare kan utnyttja säkerhetsriskerna om deras autentiseringsuppgifter tillåter åtkomst till en påverkad SQL Server-databas. En angripare som har utnyttjat säkerhetsriskerna kan få utökade privilegier som kan användas för att visa, ändra eller ta bort data. eller skapa nya konton.
Säkerhetsuppdateringen åtgärdar säkerhetsriskerna genom att korrigera hur SQL Server hanterar pekare
Följande tabell innehåller länkar till standardposten för varje sårbarhet i listan Vanliga sårbarheter och exponeringar:
| Rubrik för sårbarhet | CVE-nummer | Offentligt avslöjad | Utnyttjas |
|---|---|---|---|
| SQL RDBMS Engine Elevation of Privilege Vulnerability | CVE-2016-7249 | Nej | Nej |
| SQL RDBMS Engine Elevation of Privilege Vulnerability | CVE-2016-7250 | Nej | Nej |
| SQL RDBMS Engine Elevation of Privilege Vulnerability | CVE-2016-7254 | Nej | Nej |
Mildrande faktorer
Microsoft har inte identifierat några förmildrande faktorer för dessa sårbarheter.
Provisoriska lösningar
Microsoft har inte identifierat några lösningar på dessa säkerhetsrisker.
MDS API XSS Vulnerability- CVE-2016-7251
Det finns en XSS-höjning av sårbarheten för privilegier i SQL Server MDS som kan göra det möjligt för en angripare att mata in ett skript på klientsidan i användarens instans av Internet Explorer. Säkerhetsproblemet orsakas när SQL Server MDS inte verifierar en begäransparameter på SQL Server-platsen korrekt. Skriptet kan förfalska innehåll, avslöja information eller vidta åtgärder som användaren kan vidta på webbplatsen för den riktade användarens räkning.
Säkerhetsuppdateringen åtgärdar säkerhetsrisken genom att korrigera hur SQL Server MDS validerar parametern för begäran.
Följande tabell innehåller en länk till standardposten för sårbarheten i listan Vanliga sårbarheter och exponeringar:
| Rubrik för sårbarhet | CVE-nummer | Offentligt avslöjad | Utnyttjas |
|---|---|---|---|
| MDS API XSS-sårbarhet | CVE-2016-7251 | Nej | Nej |
Mildrande faktorer
Microsoft har inte identifierat några förmildrande faktorer för den här sårbarheten.
Provisoriska lösningar
Microsoft har inte identifierat några lösningar på den här säkerhetsrisken.
SQL Analysis Services Information Disclosure Vulnerability- CVE-2016-7252
Det finns en säkerhetsrisk för informationsutlämnande i Microsoft SQL Analysis Services när den felaktigt kontrollerar FILESTREAM-sökvägen. En angripare kan utnyttja säkerhetsrisken om deras autentiseringsuppgifter tillåter åtkomst till en påverkad SQL Server-databas. En angripare som har utnyttjat säkerhetsrisken kan få ytterligare databas- och filinformation.
Säkerhetsuppdateringen åtgärdar säkerhetsrisken genom att korrigera hur SQL Server hanterar FILESTREAM-sökvägen.
Följande tabell innehåller en länk till standardposten för sårbarheten i listan Vanliga sårbarheter och exponeringar:
| Rubrik för sårbarhet | CVE-nummer | Offentligt avslöjad | Utnyttjas |
|---|---|---|---|
| SQL Analysis Services Information Disclosure Vulnerability | CVE-2016-7252 | Nej | Nej |
Mildrande faktorer
Microsoft har inte identifierat några förmildrande faktorer för den här sårbarheten
Provisoriska lösningar
Microsoft har inte identifierat några lösningar på den här säkerhetsrisken.
Höjning av säkerhetsrisk för SQL Server-agent – CVE-2016-7253
Det finns en höjning av sårbarheten för privilegier i Microsoft SQL Server Engine när SQL Server-agenten felaktigt kontrollerar ACL:er på atxcore.dll. En angripare kan utnyttja säkerhetsrisken om deras autentiseringsuppgifter tillåter åtkomst till en påverkad SQL Server-databas. En angripare som har utnyttjat säkerhetsrisken kan få utökade privilegier som kan användas för att visa, ändra eller ta bort data. eller skapa nya konton.
Säkerhetsuppdateringen åtgärdar säkerhetsrisken genom att korrigera hur SQL Server Engine hanterar ACL:er.
Följande tabell innehåller en länk till standardposten för sårbarheten i listan Vanliga sårbarheter och exponeringar:
| Rubrik för sårbarhet | CVE-nummer | Offentligt avslöjad | Utnyttjas |
|---|---|---|---|
| Höjning av säkerhetsrisk för SQL Server-agent | CVE-2016-7253 | Nej | Nej |
Mildrande faktorer
Microsoft har inte identifierat några förmildrande faktorer för den här sårbarheten.
Provisoriska lösningar
Microsoft har inte identifierat några lösningar på den här säkerhetsrisken.
Tack
Microsoft känner igen insatserna från de i säkerhetscommunityn som hjälper oss att skydda kunder genom samordnad avslöjande av säkerhetsrisker. Mer information finns i Bekräftelser .
Friskrivning
Informationen som tillhandahålls i Microsoft Knowledge Base tillhandahålls "som den är" utan garanti av något slag. Microsoft frånsäger sig alla garantier, antingen uttryckliga eller underförstådda, inklusive garantier för säljbarhet och lämplighet för ett visst syfte. Under inga omständigheter ska Microsoft Corporation eller dess leverantörer vara ansvariga för eventuella skador, inklusive direkta, indirekta, tillfälliga, följdskador, förlust av företagsvinster eller särskilda skador, även om Microsoft Corporation eller dess leverantörer har informerats om risken för sådana skador. Vissa stater tillåter inte undantag eller begränsning av ansvar för följdskador eller oförutsedda skador, så den föregående begränsningen kanske inte gäller.
Revideringar
- V1.0 (8 november 2016): Bulletin publicerad.
Sidan genererades 2016-11-09 08:02-08:00.