Microsoft Security Bulletin MS16-136 – Wichtig
Sicherheitsupdate für SQL Server (3199641)
Veröffentlicht: 8. November 2016
Version: 1.0
Kurzfassung
Dieses Sicherheitsupdate behebt Sicherheitsrisiken in Microsoft SQL Server. Die schwerwiegendsten Sicherheitsrisiken könnten es einem Angreifer ermöglichen, erhöhte Berechtigungen zu erhalten, die zum Anzeigen, Ändern oder Löschen von Daten verwendet werden könnten. oder erstellen Sie neue Konten. Das Sicherheitsupdate behebt diese schwerwiegendsten Sicherheitsrisiken, indem korrigiert wird, wie SQL Server zeiger casting verarbeitet.
Dieses Sicherheitsupdate ist für unterstützte Editionen von Microsoft SQL Server 2012 Service Packs 2 und 3, Microsoft SQL Server 2014 Service Packs 1 und 2 und Microsoft SQL Server 2016 wichtig. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .
Weitere Informationen zu den Sicherheitsrisiken finden Sie im Abschnitt "Sicherheitsrisikoinformationen ".
Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3199641.
Betroffene Software
Die folgende Software wurde getestet, um zu ermitteln, welche Versionen oder Editionen betroffen sind. Andere Versionen oder Editionen liegen entweder über ihren Supportlebenszyklus oder sind nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.
Betroffene Software
Häufig gestellte Fragen zum Aktualisieren
Für meine Version von SQL Server werden DDR- und/oder CU-Updates (kumulatives Update) angeboten. Gewusst wie wissen, welches Update verwendet werden soll?
Ermitteln Sie zunächst Die SQL Server-Versionsnummer. Weitere Informationen zum Ermitteln der SQL Server-Versionsnummer finden Sie im Microsoft Knowledge Base-Artikel 321185.
Suchen Sie in der nachstehenden Tabelle ihre Versionsnummer oder den Versionsbereich, in den Ihre Versionsnummer fällt. Das entsprechende Update ist das, das Sie installieren müssen.
Hinweis : Wenn ihre SQL Server-Versionsnummer in der folgenden Tabelle nicht dargestellt wird, wird Ihre SQL Server-Version nicht mehr unterstützt. Aktualisieren Sie bitte auf das neueste Service Pack- oder SQL Server-Produkt, um diese und zukünftige Sicherheitsupdates anzuwenden.
| Updatenummer | Titel | Übernehmen, wenn die aktuelle Produktversion lautet... | Dieses Sicherheitsupdate umfasst auch Wartungsversionen bis... |
|---|---|---|---|
| 3194719 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2012 SP2 DDR: 8. November 2016 | 11.0.5058.0 - 11.0.5387.0 | MS15-058 |
| 3194725 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2012 SP2 CU: 8. November 2016 | 11.0.5500.0 - 11.0.5675.0 | SQL Server 2012 SP2 CU15 |
| 3194721 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2012 Service Pack 3 DDR: 8. November 2016 | 11.0.6020.0 - 11.0.6247.0 | SQL Server 2012 SP3 |
| 3194724 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2012 Service Pack 3 CU: 8. November 2016 | 11.0.6300.0 - 11.0.6566.0 | SQL Server 2012 SP3 CU6 |
| 3194720 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2014 Service Pack 1 DDR: 8. November 2016 | 12.0.4100.0 - 12.0.4231.0 | Wichtiges Update für SQL Server 2014 SP1 (KB3070446) |
| 3194722 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2014 Service Pack 1 CU: 8. November 2016 | 12.0.4400.0 - 12.0.4486.0 | SQL Server 2014 SP1 CU9 |
| 3194714 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2014 Service Pack 2 DDR: 8. November 2016 | 12.0.5000.0 - 12.0.5202.0 | SQL Server 2014 SP2 |
| 3194718 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2014 Service Pack 2 CU: 8. November 2016 | 12.0.5400.0 - 12.0.5531.0 | SQL Server 2014 SP2 CU2 |
| 3194716 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2016 DDR: 8. November 2016 | 13.0.1605.0 - 13.0.1721.0 | Kritisches Update für SQL Server 2016 Analysis Services (KB3179258) |
| 3194717 | MS16-136: Beschreibung des Sicherheitsupdates für SQL Server 2016 CU: 8. November 2016 | 13.0.2100.0 - 13.0.2182.0 | SQL Server 2016 CU3 |
Weitere Installationsanweisungen finden Sie im Unterabschnitt "Sicherheitsupdateinformationen" für Ihre SQL Server-Edition im Abschnitt "Updateinformation ".
Was sind die DDR- und CU-Aktualisierungsbezeichnungen und wie unterscheiden sie sich?
Die Bezeichnungen General Distribution Release (DDR) und Kumulatives Update (CU) entsprechen den beiden verschiedenen Update-Servicing Branches für SQL Server. Der Hauptunterschied zwischen den beiden Ist, dass CU-Zweige alle Aktualisierungen für einen bestimmten Basisplan kumulativ enthalten, während DDR-Zweige nur kumulative kritische Updates für einen bestimmten Basisplan enthalten. Ein Basisplan kann die ursprüngliche RTM-Version oder ein Service Pack sein.
Für einen bestimmten Basisplan sind entweder die DDR- oder CU-Verzweigungsupdates Optionen, wenn Sie sich am Basisplan befinden oder nur ein vorheriges DDR-Update für diesen Basisplan installiert haben. Die CU-Verzweigung ist die einzige Option, wenn Sie ein vorheriges SQL Server CU für den Basisplan installiert haben, auf dem Sie sich befinden.
Werden diese Sicherheitsupdates SQL Server-Clustern angeboten?
Ja. Die Updates werden auch sql Server 2012 SP2/SP3, SQL Server 2014 SP1/SP2 und SQL Server 2016 RTM-Instanzen angeboten, die gruppiert sind. Updates für SQL Server-Cluster erfordern eine Benutzerinteraktion.
Wenn der SQL Server 2012 SP2/SP3, SQL Server 2014 SP1/SP2 und SQL Server 2016 RTM-Cluster einen passiven Knoten haben, um Ausfallzeiten zu reduzieren, empfiehlt Microsoft, zuerst das Update auf den inaktiven Knoten zu überprüfen und anzuwenden, und es dann auf den aktiven Knoten anzuwenden. Wenn alle Komponenten auf allen Knoten aktualisiert wurden, wird das Update nicht mehr angeboten.
Können die Sicherheitsupdates auf SQL Server-Instanzen unter Windows Azure (IaaS) angewendet werden?
Ja. SQL Server-Instanzen unter Windows Azure (IaaS) können die Sicherheitsupdates über Microsoft Update angeboten werden, oder Kunden können die Sicherheitsupdates aus dem Microsoft Download Center herunterladen und manuell anwenden.
Schweregradbewertungen und Sicherheitslücken-IDs
Die folgenden Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, finden Sie im Bulletin-Zusammenfassung vom November den Exploitability Index.
| Bewertung des Schweregrads der Sicherheitsanfälligkeit und maximale Sicherheitsbeeinträchtigung durch betroffene Software | ||||||
|---|---|---|---|---|---|---|
| Betroffene Software | Sicherheitsanfälligkeit im SQL RDBMS-Modul EoP – CVE-2016-7249 | Sicherheitsanfälligkeit im SQL RDBMS-Modul EoP – CVE-2016-7250 | Sicherheitsanfälligkeit im SQL RDBMS-Modul EoP – CVE-2016-7254 | SICHERHEITSANFÄLLIGKEIT IN MDS-API – CVE-2016-7251 | Sicherheitsanfälligkeit in SQL Analysis Services bezüglich Offenlegung von Informationen – CVE-2016-7252 | sicherheitsanfälligkeit in SQL Server-Agent Erhöhung von Berechtigungen – CVE-2016-7253 |
| SQL Server 2012 Service Pack 2 | ||||||
| Microsoft SQL Server 2012 für 32-Bit-Systeme Service Pack 2 | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung |
| Microsoft SQL Server 2012 für x64-basierte Systeme Service Pack 2 | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung |
| SQL Server 2012 Service Pack 3 | ||||||
| Microsoft SQL Server 2012 für 32-Bit-Systeme Service Pack 3 | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung |
| Microsoft SQL Server 2012 für x64-basierte Systeme Service Pack 3 | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht zutreffend | Wichtige Rechteerweiterung |
| SQL Server 2014 Service Pack 1 | ||||||
| Microsoft SQL Server 2014 Service Pack 1 für 32-Bit-Systeme | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht verfügbar | Nicht zutreffend | Wichtige Rechteerweiterung |
| Microsoft SQL Server 2014 Service Pack 1 für x64-basierte Systeme | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht verfügbar | Nicht zutreffend | Wichtige Rechteerweiterung |
| SQL Server 2014 Service Pack 2 | ||||||
| Microsoft SQL Server 2014 Service Pack 2 für 32-Bit-Systeme | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht verfügbar | Nicht zutreffend | Wichtige Rechteerweiterung |
| Microsoft SQL Server 2014 Service Pack 2 für x64-basierte Systeme | Nicht zutreffend | Wichtige Rechteerweiterung | Nicht zutreffend | Nicht verfügbar | Nicht zutreffend | Wichtige Rechteerweiterung |
| SQL Server 2016 | ||||||
| Microsoft SQL Server 2016 für x64-basierte Systeme | Wichtige Rechteerweiterung | Wichtige Rechteerweiterung | Nicht zutreffend | Wichtige Rechteerweiterung | Wichtig \ Offenlegung von Informationen | Nicht zutreffend |
Informationen zu Sicherheitsrisiken
Mehrere Sicherheitsanfälligkeiten des SQL RDBMS-Moduls zur Erhöhung von Berechtigungen
Rechteerweiterungsrisiken sind in Microsoft SQL Server vorhanden, wenn die Zeigerwandlung nicht ordnungsgemäß behandelt wird. Ein Angreifer könnte die Sicherheitsanfälligkeiten ausnutzen, wenn ihre Anmeldeinformationen den Zugriff auf eine betroffene SQL Server-Datenbank ermöglichen. Ein Angreifer, der die Sicherheitsanfälligkeiten erfolgreich ausgenutzt hat, könnte erhöhte Berechtigungen erhalten, die zum Anzeigen, Ändern oder Löschen von Daten verwendet werden können; oder erstellen Sie neue Konten.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeiten, indem korrigiert wird, wie SQL Server zeiger casting verarbeitet
Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:
| Titel der Sicherheitsanfälligkeit | CVE-Nummer | Öffentlich offengelegt | Genutzt |
|---|---|---|---|
| SICHERHEITSANFÄLLIGKEIT DES SQL RDBMS-Moduls zur Erhöhung von Berechtigungen | CVE-2016-7249 | No | No |
| SICHERHEITSANFÄLLIGKEIT DES SQL RDBMS-Moduls zur Erhöhung von Berechtigungen | CVE-2016-7250 | No | No |
| SICHERHEITSANFÄLLIGKEIT DES SQL RDBMS-Moduls zur Erhöhung von Berechtigungen | CVE-2016-7254 | No | No |
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsrisiken identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsrisiken identifiziert.
SICHERHEITSANFÄLLIGKEIT IN MDS-API– CVE-2016-7251
In SQL Server MDS ist eine XSS-Sicherheitsanfälligkeit zur Erhöhung von Berechtigungen vorhanden, die es einem Angreifer ermöglichen könnte, ein clientseitiges Skript in die Instanz des Benutzers von Internet Explorer einzufügen. Die Sicherheitsanfälligkeit wird verursacht, wenn der SQL Server MDS einen Anforderungsparameter auf der SQL Server-Website nicht ordnungsgemäß überprüft. Das Skript kann Inhalte spoofen, Informationen offenlegen oder maßnahmen ergreifen, die der Benutzer im Namen des Zielbenutzers auf der Website ausführen könnte.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie SQL Server MDS den Anforderungsparameter überprüft.
Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:
| Titel der Sicherheitsanfälligkeit | CVE-Nummer | Öffentlich offengelegt | Genutzt |
|---|---|---|---|
| MDS-API XSS-Sicherheitsanfälligkeit | CVE-2016-7251 | No | No |
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Sicherheitsanfälligkeit in SQL Analysis Services bezüglich Offenlegung von Informationen – CVE-2016-7252
Eine Sicherheitslücke zur Offenlegung von Informationen ist in Microsoft SQL Analysis Services vorhanden, wenn der FILESTREAM-Pfad nicht ordnungsgemäß überprüft wird. Ein Angreifer könnte die Sicherheitsanfälligkeit ausnutzen, wenn ihre Anmeldeinformationen den Zugriff auf eine betroffene SQL Server-Datenbank ermöglichen. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte zusätzliche Datenbank- und Dateiinformationen erhalten.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie DER FILESTREAM-Pfad von SQL Server verarbeitet wird.
Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:
| Titel der Sicherheitsanfälligkeit | CVE-Nummer | Öffentlich offengelegt | Genutzt |
|---|---|---|---|
| Sicherheitsanfälligkeit in SQL Analysis Services zur Offenlegung von Informationen | CVE-2016-7252 | No | No |
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
SQL Server-Agent Sicherheitsanfälligkeit in Höhe von Rechten – CVE-2016-7253
In microsoft SQL Server Engine ist eine Sicherheitslücke zur Erhöhung von Rechten vorhanden, wenn die SQL Server-Agent ACLs für atxcore.dll falsch überprüfen. Ein Angreifer könnte die Sicherheitsanfälligkeit ausnutzen, wenn ihre Anmeldeinformationen den Zugriff auf eine betroffene SQL Server-Datenbank ermöglichen. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte erhöhte Berechtigungen erhalten, die zum Anzeigen, Ändern oder Löschen von Daten verwendet werden können; oder erstellen Sie neue Konten.
Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie das SQL Server-Modul ACLs verarbeitet.
Die folgende Tabelle enthält einen Link zum Standardeintrag für die Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:
| Titel der Sicherheitsanfälligkeit | CVE-Nummer | Öffentlich offengelegt | Genutzt |
|---|---|---|---|
| SQL Server-Agent Sicherheitsrisiko für rechteerweiterungen | CVE-2016-7253 | No | No |
Mildernde Faktoren
Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.
Problemumgehungen
Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.
Danksagungen
Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".
Haftungsausschluss
Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.
Revisionen
- V1.0 (8. November 2016): Bulletin veröffentlicht.
Seite generiert 2016-11-09 08:02-08:00.