Boletín de seguridad de Microsoft MS12-070 - Importante
Una vulnerabilidad en SQL Server podría permitir la elevación de privilegios (2754849)
Publicado:
Versión: 1.0
Información general
Resumen ejecutivo
Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft SQL Server en sistemas con SQL Server Reporting Services (SSRS). Se trata de una vulnerabilidad de scripts de sitios (XSS) que podría permitir la elevación de privilegios, lo que permitiría que un atacante ejecutar comandos arbitrarios en el sitio SSRS en el contexto del usuario atacado. Un atacante podría aprovechar esta vulnerabilidad enviando al usuario un vínculo especialmente diseñado y convenciéndole de que haga clic en él. Un atacante también podría hospedar un sitio web que contuviera una página web diseñada para aprovechar la vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad.
Esta actualización de seguridad se considera importante para Microsoft SQL Server 2000 Reporting Services Service Pack 2 y para los sistemas que ejecuten SQL Server Reporting Services (SSRS) en Microsoft SQL Server 2005 Service Pack 4, Microsoft SQL Server 2008 Service Pack 2, Microsoft SQL Server 2008 Service Pack 3, Microsoft SQL Server 2008 R2 Service Pack 1 y Microsoft SQL Server 2012. Para obtener más información, consulte la subsección Software afectado y no afectado, en esta sección.
La actualización de seguridad corrige la vulnerabilidad al modificar el modo en que el Administrador de informes de SQL Server valida los parámetros de entrada. Para obtener más información acerca de la vulnerabilidad, consulte la subsección Preguntas más frecuentes (P+F) de la entrada de vulnerabilidad específica en la sección siguiente, Información sobre la vulnerabilidad.
Recomendación. Microsoft recomienda que los clientes instalen la actualización lo antes posible.
Problemas conocidos. En el artículo 2754849 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas.
Software afectado y no afectado
El software siguiente se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, vea Ciclo de vida del soporte técnico de Microsoft.
Microsoft SQL Server
Según la versión o edición de software, puede que deba elegir entre los siguientes vínculos de actualización de software de GDR y QFE para instalar manualmente su actualización desde el Centro de descarga de Microsoft. Para obtener más información acerca de cómo determinar la actualización que se instalará en el sistema, vea la subsección Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad, en esta sección.
[1]Esta actualización solo se ofrece a los clientes que ejecuten SQL Server Reporting Services (SSRS).
Software no afectado
| Software de Microsoft SQL Server |
|---|
| Microsoft SQL Server 2000 Service Pack 4 |
| Microsoft SQL Server 2000 Itanium Edition Service Pack 4 |
| Microsoft SQL Server 2000 Analysis Services Service Pack 4 |
| Microsoft SQL Server 2000 Desktop Engine (MSDE) en Microsoft Windows Server 2003 Service Pack 2 |
| Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) Service Pack 4 |
| Microsoft SQL Server 2005 Express Edition Service Pack 4 |
| Microsoft SQL Server Management Studio Express (SSMSE) 2005 |
| Microsoft SQL Server 2008 R2 para sistemas de 32 bits Service Pack 2 |
| Microsoft SQL Server 2008 R2 para sistemas x64 Service Pack 2 |
| Microsoft SQL Server 2008 R2 para sistemas con Itanium Service Pack 2 |
| Microsoft Data Engine (MSDE) 1.0 |
| Microsoft Data Engine (MSDE) 1.0 Service Pack 4 |
| Microsoft Data Engine 1.0 |
Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad
Información sobre la vulnerabilidad
Gravedad e identificadores de vulnerabilidad
Vulnerabilidad de XSS reflejado (CVE-2012-2552)
Información sobre la actualización
Herramientas y consejos para la detección e implementación
Implementación de la actualización de seguridad
Información adicional:
Microsoft Active Protections Program (MAPP)
Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, vaya a los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP).
Soporte técnico
Cómo obtener ayuda y soporte técnico para esta actualización de seguridad
- Ayuda para instalar actualizaciones: Soporte de Microsoft Update
- Soluciones de seguridad para profesionales de TI: Soporte técnico y solución de problemas de seguridad de TechNet
- Ayuda para proteger su equipo con Windows de virus y malware: Solución antivirus y centro de seguridad
- Soporte local según su país: Soporte internacional
Renuncia
La información proporcionada en Microsoft Knowledge Base se suministra "tal cual", sin garantías de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.
Revisiones
- V1.0 (9 de octubre de 2012): Publicación del boletín.
