Launch Printer Friendly Page Security TechCenter > Boletines de seguridad > Boletín de seguridad de Microsoft MS12-070

Boletín de seguridad de Microsoft MS12-070 - Importante

Una vulnerabilidad en SQL Server podría permitir la elevación de privilegios (2754849)

Publicado:

Versión: 1.0

Información general

Resumen ejecutivo

Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft SQL Server en sistemas con SQL Server Reporting Services (SSRS). Se trata de una vulnerabilidad de scripts de sitios (XSS) que podría permitir la elevación de privilegios, lo que permitiría que un atacante ejecutar comandos arbitrarios en el sitio SSRS en el contexto del usuario atacado. Un atacante podría aprovechar esta vulnerabilidad enviando al usuario un vínculo especialmente diseñado y convenciéndole de que haga clic en él. Un atacante también podría hospedar un sitio web que contuviera una página web diseñada para aprovechar la vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad.

Esta actualización de seguridad se considera importante para Microsoft SQL Server 2000 Reporting Services Service Pack 2 y para los sistemas que ejecuten SQL Server Reporting Services (SSRS) en Microsoft SQL Server 2005 Service Pack 4, Microsoft SQL Server 2008 Service Pack 2, Microsoft SQL Server 2008 Service Pack 3, Microsoft SQL Server 2008 R2 Service Pack 1 y Microsoft SQL Server 2012. Para obtener más información, consulte la subsección Software afectado y no afectado, en esta sección.

La actualización de seguridad corrige la vulnerabilidad al modificar el modo en que el Administrador de informes de SQL Server valida los parámetros de entrada. Para obtener más información acerca de la vulnerabilidad, consulte la subsección Preguntas más frecuentes (P+F) de la entrada de vulnerabilidad específica en la sección siguiente, Información sobre la vulnerabilidad.

Recomendación. Microsoft recomienda que los clientes instalen la actualización lo antes posible.

Problemas conocidos. En el artículo 2754849 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas.

Software afectado y no afectado

El software siguiente se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, vea Ciclo de vida del soporte técnico de Microsoft.

Microsoft SQL Server

Según la versión o edición de software, puede que deba elegir entre los siguientes vínculos de actualización de software de GDR y QFE para instalar manualmente su actualización desde el Centro de descarga de Microsoft. Para obtener más información acerca de cómo determinar la actualización que se instalará en el sistema, vea la subsección Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad, en esta sección.

Actualizaciones de software GDRActualizaciones de software QFERepercusión de seguridad máximaClasificación de gravedad acumuladaActualizaciones reemplazadas
SQL Server 2000
No aplicableMicrosoft SQL Server 2000 Reporting Services Service Pack 2
(KB983814)
Elevación de privilegiosImportanteKB970899 en MS09-062 se reemplaza por KB983814
SQL Server 2005
Microsoft SQL Server 2005 Express Edition con Advanced Services Service Pack 4[1]
(KB2716429)
Microsoft SQL Server 2005 Express Edition con Advanced Services Service Pack 4[1]
(KB2716427)
Elevación de privilegiosImportanteKB2494120 y KB2546869 en MS11-049 se reemplazan por KB2716429

KB2494123 en MS11-049 se reemplaza por KB2716427
Microsoft SQL Server 2005 para sistemas de 32 bits Service Pack 4[1]
(KB2716429)
Microsoft SQL Server 2005 para sistemas de 32 bits Service Pack 4[1]
(KB2716427)
Elevación de privilegiosImportanteKB2494120 y KB2546869 en MS11-049 se reemplazan por KB2716429

KB2494123 en MS11-049 se reemplaza por KB2716427
Microsoft SQL Server 2005 para sistemas x64 Service Pack 4[1]
(KB2716429)
Microsoft SQL Server 2005 para sistemas x64 Service Pack 4[1]
(KB2716427)
Elevación de privilegiosImportanteKB2494120 y KB2546869 en MS11-049 se reemplazan por KB2716429

KB2494123 en MS11-049 se reemplaza por KB2716427
Microsoft SQL Server 2005 para sistemas con Itanium Service Pack 4[1]
(KB2716429)
Microsoft SQL Server 2005 para sistemas con Itanium Service Pack 4[1]
(KB2716427)
Elevación de privilegiosImportanteKB2494120 y KB2546869 en MS11-049 se reemplazan por KB2716429

KB2494123 en MS11-049 se reemplaza por KB2716427
SQL Server 2008
Microsoft SQL Server 2008 para sistemas de 32 bits Service Pack 2[1]
(KB2716434)
Microsoft SQL Server 2008 para sistemas de 32 bits Service Pack 2[1]
(KB2716433)
Elevación de privilegiosImportanteKB2494089 en MS11-049 se reemplaza por KB2716434

KB2494094 en MS11-049 se reemplaza por KB2716433
Microsoft SQL Server 2008 para sistemas de 32 bits Service Pack 3[1]
(KB2716436)
Microsoft SQL Server 2008 para sistemas de 32 bits Service Pack 3[1]
(KB2716435)
Elevación de privilegiosImportanteNinguna
Microsoft SQL Server 2008 para sistemas x64 Service Pack 2[1]
(KB2716434)
Microsoft SQL Server 2008 para sistemas x64 Service Pack 2[1]
(KB2716433)
Elevación de privilegiosImportanteKB2494089 en MS11-049 se reemplaza por KB2716434

KB2494094 en MS11-049 se reemplaza por KB2716433
Microsoft SQL Server 2008 para sistemas x64 Service Pack 3[1]
(KB2716436)
Microsoft SQL Server 2008 para sistemas x64 Service Pack 3[1]
(KB2716435)
Elevación de privilegiosImportanteNinguna
Microsoft SQL Server 2008 para sistemas con Itanium Service Pack 2[1]
(KB2716434)
Microsoft SQL Server 2008 para sistemas con Itanium Service Pack 2[1]
(KB2716433)
Elevación de privilegiosImportanteKB2494089 en MS11-049 se reemplaza por KB2716434

KB2494094 en MS11-049 se reemplaza por KB2716433
Microsoft SQL Server 2008 para sistemas con Itanium Service Pack 3[1]
(KB2716436)
Microsoft SQL Server 2008 para sistemas con Itanium Service Pack 3[1]
(KB2716435)
Elevación de privilegiosImportanteNinguna
SQL Server 2008 R2
Microsoft SQL Server 2008 R2 para sistemas de 32 bits Service Pack 1[1]
(KB2716440)
Microsoft SQL Server 2008 R2 para sistemas de 32 bits Service Pack 1[1]
(KB2716439)
Elevación de privilegiosImportanteNinguna
Microsoft SQL Server 2008 R2 para sistemas x64 Service Pack 1[1]
(KB2716440)
Microsoft SQL Server 2008 R2 para sistemas x64 Service Pack 1[1]
(KB2716439)
Elevación de privilegiosImportanteNinguna
Microsoft SQL Server 2008 R2 para sistemas con Itanium Service Pack 1[1]
(KB2716440)
Microsoft SQL Server 2008 R2 para sistemas con Itanium Service Pack 1[1]
(KB2716439)
Elevación de privilegiosImportanteNinguna
SQL Server 2012
Microsoft SQL Server 2012 para sistemas de 32 bits[1]
(KB2716442)
Microsoft SQL Server 2012 para sistemas de 32 bits[1]
(KB2716441)
Elevación de privilegiosImportanteNinguna
Microsoft SQL Server 2012 para sistemas x64[1]
(KB2716442)*
Microsoft SQL Server 2012 para sistemas x64[1]
(KB2716441)
Elevación de privilegiosImportanteNinguna

[1]Esta actualización solo se ofrece a los clientes que ejecuten SQL Server Reporting Services (SSRS).

Software no afectado

Software de Microsoft SQL Server
Microsoft SQL Server 2000 Service Pack 4
Microsoft SQL Server 2000 Itanium Edition Service Pack 4
Microsoft SQL Server 2000 Analysis Services Service Pack 4
Microsoft SQL Server 2000 Desktop Engine (MSDE) en Microsoft Windows Server 2003 Service Pack 2
Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) Service Pack 4
Microsoft SQL Server 2005 Express Edition Service Pack 4
Microsoft SQL Server Management Studio Express (SSMSE) 2005
Microsoft SQL Server 2008 R2 para sistemas de 32 bits Service Pack 2
Microsoft SQL Server 2008 R2 para sistemas x64 Service Pack 2
Microsoft SQL Server 2008 R2 para sistemas con Itanium Service Pack 2
Microsoft Data Engine (MSDE) 1.0
Microsoft Data Engine (MSDE) 1.0 Service Pack 4
Microsoft Data Engine 1.0

Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad

Información sobre la vulnerabilidad

Gravedad e identificadores de vulnerabilidad

Vulnerabilidad de XSS reflejado (CVE-2012-2552)

Información sobre la actualización

Herramientas y consejos para la detección e implementación

Implementación de la actualización de seguridad

Información adicional:

Microsoft Active Protections Program (MAPP)

Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, vaya a los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP).

Soporte técnico

Cómo obtener ayuda y soporte técnico para esta actualización de seguridad

Renuncia

La información proporcionada en Microsoft Knowledge Base se suministra "tal cual", sin garantías de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.

Revisiones

  • V1.0 (9 de octubre de 2012): Publicación del boletín.