Bollettino Microsoft sulla sicurezza MS09-004 - Importante
Una vulnerabilità in Microsoft SQL Server può consentire l'esecuzione di codice in modalità remota (959420)
Data di pubblicazione: | Aggiornamento:
Versione: 1.2
Informazioni generali
Riepilogo
Questo aggiornamento per la protezione risolve una vulnerabilità di Microsoft SQL Server che è stata segnalata privatamente. La vulnerabilità può consentire l'esecuzione di codice in modalità remota se utenti non attendibili accedono a un sistema interessato o se si verifica un attacco SQL injection nel sistema interessato. I sistemi che eseguono SQL Server 7.0 Service Pack 4, SQL Server 2005 Service Pack 3 e SQL Server 2008 non sono interessati dal problema.
Questo aggiornamento per la protezione è considerato di livello importante per le versioni supportate di SQL Server 2000, SQL Server 2005 Service Pack 2, Microsoft SQL Server 2000 Desktop Engine (MSDE 2000), SQL Server 2005 Express Edition, Microsoft SQL Server 2000 Desktop Engine (WMSDE) e Database interno di Windows (WYukon). Per ulteriori informazioni, vedere la sottosezione Software interessato e Software non interessato in questa sezione.
L'aggiornamento per la protezione risolve la vulnerabilità tramite la convalida dei parametri di input passati a una stored procedure estesa. Per ulteriori informazioni sulla vulnerabilità, vedere la sottosezione Domande frequenti per la specifica voce della vulnerabilità nella sezione Informazioni sulle vulnerabilità.
Questo aggiornamento per la protezione risolve anche la vulnerabilità descritta nell'advisory Microsoft sulla sicurezza 961040.
Raccomandazione. Microsoft consiglia di installare l'aggiornamento quanto prima.
Problemi noti. L'articolo della Microsoft Knowledge Base 959420 descrive i problemi attualmente conosciuti che potrebbero verificarsi installando il presente aggiornamento per la protezione. L'articolo illustra inoltre le soluzioni consigliate in grado di risolvere questi problemi.
Software interessato e Software non interessato
Il seguente software è stato sottoposto a test per determinare quali versioni o edizioni siano interessate. Le altre versioni o edizioni non sono interessate dalla vulnerabilità o sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione o l'edizione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.
SQL Server
Componenti di Windows
| Sistema operativo | Componente | Livello massimo di impatto sulla protezione | Livello di gravità aggregato | Bollettini sostituiti da questo aggiornamento |
|---|---|---|---|---|
| Windows Server 2003 Service Pack 1 e Windows Server 2003 Service Pack 2 | Microsoft SQL Server 2000 Desktop Engine (WMSDE) (KB960082) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
| Windows Server 2003 Service Pack 1 e Windows Server 2003 Service Pack 2 | Database interno di Windows (WYukon) Service Pack 2 (KB960089) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
| Windows Server 2003 x64 Edition e Windows Server 2003 x64 Edition Service Pack 2 | Microsoft SQL Server 2000 Desktop Engine (WMSDE) (KB960082) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
| Windows Server 2003 x64 Edition e Windows Server 2003 x64 Edition Service Pack 2 | Database interno di Windows (WYukon) x64 Edition Service Pack 2 (KB960089) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
| Windows Server 2008 per sistemi a 32 bit* | Database interno di Windows (WYukon) Service Pack 2 (KB960089) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
| Windows Server 2008 per sistemi x64* | Database interno di Windows (WYukon) x64 Edition Service Pack 2 (KB960089) | Esecuzione di codice in modalità remota | Importante | MS08-040 |
*Sono interessate le installazione di Windows Server 2008 con opzione Server Core. Per le edizioni supportate di Windows Server 2008, a questo aggiornamento si applica il medesimo livello di gravità indipendentemente dal fatto che l'installazione sia stata effettuata usando l'opzione Server Core o meno. Per ulteriori informazioni su questa opzione di installazione, vedere Server Core. Si noti che l'opzione di installazione di Server Core non è disponibile per alcune edizioni di Windows Server 2008; vedere Compare Server Core Installation Options.
Software non interessato
| Software | Componente |
|---|---|
| SQL Server 7.0 Service Pack 4 | Non applicabile |
| Microsoft Data Engine (MSDE) 1.0 Service Pack 4 | Non applicabile |
| SQL Server 2005 Service Pack 3 | Non applicabile |
| Application Center 2000 Service Pack 2 | Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) Service Pack 3a |
| SQL Server 2005 x64 Edition Service Pack 3 | Non applicabile |
| SQL Server 2005 con SP3 per sistemi basati su Itanium | Non applicabile |
| SQL Server 2008 (edizioni a 32 bit) | Non applicabile |
| SQL Server 2008 (edizioni basate su x64) | Non applicabile |
| SQL Server 2008 (edizioni basate su Itanium) | Non applicabile |
Domande frequenti sull'aggiornamento per la protezione
Informazioni sulle vulnerabilità
Livelli di gravità e identificatori della vulnerabilità
Vulnerabilità legata alla sovrascrittura della memoria limitata sp_replwritetovarbin in SQL Server - CVE-2008-5416
Informazioni sull'aggiornamento
Strumenti e informazioni sul rilevamento e sulla distribuzione
Distribuzione dell'aggiornamento per la protezione
Altre informazioni
Ringraziamenti
Microsoft ringrazia i seguenti utenti per aver collaborato alla protezione dei sistemi dei clienti:
- Bernhard Mueller di SEC Consult Vulnerability Lab per aver segnalato la vulnerabilità legata alla sovrascrittura della memoria limitata sp_replwritetovarbin in SQL Server (CVE-2008-5416)
Microsoft Active Protections Program (MAPP)
Per migliorare il livello di protezione offerto ai clienti, Microsoft fornisce ai principali fornitori di software di protezione i dati relativi alle vulnerabilità in anticipo rispetto alla pubblicazione mensile dell'aggiornamento per la protezione. I fornitori di software di protezione possono servirsi di tali dati per fornire ai clienti delle protezioni aggiornate tramite software o dispositivi di protezione, quali antivirus, sistemi di rilevamento delle intrusioni di rete o sistemi di prevenzione delle intrusioni basati su host. Per verificare se tali protezioni attive sono state rese disponibili dai fornitori di software di protezione, visitare i siti Web relativi alle protezioni attive pubblicati dai partner del programma, che sono elencati in Microsoft Active Protections Program (MAPP) Partners.
Supporto
- Per usufruire dei servizi del supporto tecnico, visitare il sito del Servizio Supporto Tecnico Clienti Microsoft. Le chiamate al supporto tecnico relative agli aggiornamenti per la protezione sono gratuite.
- I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Il supporto relativo agli aggiornamenti di protezione è gratuito. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto, visitare il sito Web del supporto internazionale.
Dichiarazione di non responsabilità
Le informazioni disponibili nella Microsoft Knowledge Base sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.
Versioni
- V1.0 (10 febbraio 2009): Pubblicazione del bollettino.
- V1.1 (05 marzo 2009): Alla sezione Domande frequenti sull'aggiornamento per la protezione è stata aggiunta una voce che comunica una modifica apportata alla logica del rilevamento dei pacchetti di aggiornamento per Microsoft SQL Server 2000 Desktop Engine (WMSDE) (KB960082). Si tratta solo di una modifica della distribuzione, che non interessa i file contenuti nell'aggiornamento iniziale. I clienti che hanno già aggiornato i propri sistemi non devono reinstallare questo aggiornamento.
- V1.2 (18 marzo, 2009): I nomi dell'istanza di prodotto "ADMT" e "ADS" sono stati rispettivamente corretti in "MS_ADMT" e "MicrosoftADS". Questi sono nomi dell'istanza riportati nella sezione Distribuzione dell' aggiornamento per la protezione per Microsoft SQL Server 2000 Desktop Engine (WMSDE). La modifica è esclusivamente informativa e non interessa i file contenuti nell'aggiornamento. I clienti che hanno già aggiornato i propri sistemi non devono reinstallare questo aggiornamento.