Бюллетень по безопасности (Майкрософт) MS12-070 - Важное
Уязвимость в SQL Server делает возможным несанкционированное получение прав (2754849)
Дата публикации:
Версия: 1.0
Общие сведения
Аннотация
Это обновление для системы безопасности устраняет обнаруженную пользователями уязвимость Microsoft SQL Server в системах, в которых выполняются службы SQL Server Reporting Services (SSRS). Это уязвимость межузловых сценариев (XSS), которая делает возможным несанкционированное получение прав, позволяя злоумышленнику выполнить произвольные команды на SSRS-сайте в контексте целевого пользователя. Злоумышленник может использовать эту уязвимость, отправив пользователю особым образом созданную ссылку и убедив его перейти по ней. Злоумышленник может также разместить в сети веб-сайт, содержащий веб-страницу, предназначенную для использования данной уязвимости. Кроме того, веб-сайты, подвергшиеся атаке злоумышленников, равно как и веб-сайты, принимающие или размещающие пользовательские материалы или объявления, также могут иметь специальное содержимое, рассчитанное на использование данной уязвимости.
Это обновление безопасности имеет уровень "существенный" для Microsoft SQL Server 2000 Reporting Services с пакетом обновления 2 (SP2) и систем с SQL Server Reporting Services (SSRS) в Microsoft SQL Server 2005 с пакетом обновления 4 (SP4), Microsoft SQL Server 2008 с пакетом обновления 2 (SP2), Microsoft SQL Server 2008 с пакетом обновления 3 (SP3), Microsoft SQL Server 2008 R2 с пакетом обновления 1 (SP1) и Microsoft SQL Server 2012. Дополнительные сведения см. в подразделе Подвержены и не подвержены уязвимости далее в этом разделе.
Это обновление для системы безопасности устраняет уязвимость, изменяя способ проверки входных параметров диспетчером отчетов SQL Server. Дополнительные сведения об этой уязвимости см. в подразделе "Часто задаваемые вопросы" для соответствующей уязвимости в следующем ниже разделе Сведения об уязвимости.
Рекомендация. Корпорация Майкрософт рекомендует установить это обновление при первой возможности.
Известные проблемы. В статье 2754849 базы знаний Майкрософт описаны известные на данный момент проблемы, с которыми пользователи могут столкнуться при установке этого обновления для системы безопасности. В этой статье также приводятся решения, рекомендованные для устранения этих проблем.
Подвержены и не подвержены уязвимости
Следующие продукты были проверены на наличие уязвимости в тех или иных версиях и выпусках. Прочие версии или выпуски не подвержены уязвимости, либо жизненные циклы их поддержки истекли. Сведения о жизненных циклах поддержки версий или выпусков используемых программных продуктов см. на веб-странице сроков поддержки продуктов Майкрософт.
Microsoft SQL Server
В зависимости от выпуска или версии ПО может потребоваться выбрать ссылку на обновление программного обеспечения GDR либо QFE, чтобы вручную установить его из Центра загрузки Майкрософт. Дополнительные сведения о том, какое обновление необходимо установить в системе, см. в подразделе Вопросы и ответы об этом обновлении для системы безопасности этого раздела.
[1]Это обновление предлагается только пользователям SQL Server Reporting Services (SSRS).
Не подвержены уязвимости
| Программное обеспечение Microsoft SQL Server |
|---|
| Microsoft SQL Server 2000 с пакетом обновления 4 (SP4) |
| Microsoft SQL Server 2000 для систем на базе процессоров Itanium с пакетом обновления 4 (SP4) |
| Службы анализа Microsoft SQL Server 2000 с пакетом обновления 4 (SP4) |
| Microsoft SQL Server 2000 Desktop Engine (MSDE) в Microsoft Windows Server 2003 с пакетом обновления 2 (SP2) |
| Microsoft SQL Server 2000 Desktop Engine (WMSDE 2000) в системе Windows 2000 с пакетом обновления 4 (SP4) |
| Microsoft SQL Server 2005 Express Edition с пакетом обновления 4 (SP4) |
| Microsoft SQL Server Management Studio Express (SSMSE) 2005 |
| Microsoft SQL Server 2008 R2 для 32-разрядных систем с пакетом обновления 2 (SP2) |
| Microsoft SQL Server 2008 R2 для 64-разрядных систем с пакетом обновления 2 (SP2) |
| Microsoft SQL Server 2008 R2 для систем на базе процессоров Itanium с пакетом обновления 2 (SP2) |
| Microsoft Data Engine (MSDE) 1.0 |
| Microsoft Data Engine (MSDE) 1.0 с пакетом обновления 4 (SP4) |
| Microsoft Data Engine 1.0 |
Часто задаваемые вопросы о данном обновлении безопасности
Сведения об уязвимости
Уровни серьезности и идентификаторы уязвимостей
Уязвимость, приводящая к отраженному межсайтовому выполнению сценариев (XSS) (CVE-2012-2552)
Сведения об обновлении
Руководство и средства по диагностике и развертыванию
Развертывание обновления для системы безопасности
Прочие сведения
Программа Microsoft Active Protections Program (MAPP)
Чтобы повысить уровень защиты пользователей, корпорация Майкрософт предоставляет сведения об уязвимостях крупным поставщикам программного обеспечения безопасности перед ежемесячным выпуском обновлений. Эта информация необходима им для усовершенствования программного обеспечения и оборудования для защиты пользователей (антивирусных программ, сетевых систем обнаружения вторжений, а также индивидуальных систем предотвращения вторжений). Сведения о средствах защиты, предоставляемых поставщиками программного обеспечения безопасности, доступны на соответствующих веб-сайтах партнеров, перечисленных в списке партнеров MAPP.
Поддержка
Получение справки и поддержки по данному обновлению для системы безопасности
- Справка по установке обновлений: Поддержка Центра обновления Майкрософт
- Решения безопасности для ИТ-специалистов: Устранение неполадок и поддержка на веб-сайте TechNet
- Защита компьютера с установленной ОС Windows от вирусов и вредоносных программ: Центр решений по антивирусам и безопасности
- Местная поддержка в зависимости от страны: Международная поддержка
Заявление об отказе
Сведения в статьях базы знаний Майкрософт предоставляются без каких-либо гарантий. Корпорация Майкрософт не предоставляет каких-либо гарантий, явных или подразумеваемых, включая любые гарантии товарности или пригодности для использования в определенных целях. Корпорация Майкрософт и ее поставщики ни при каких обстоятельствах не несут ответственности за возможный ущерб, включая косвенный, случайный, прямой, опосредованный и специальный ущерб, а также упущенную выгоду, даже если корпорация Майкрософт или ее поставщики заранее были извещены о возможности такого ущерба. Если действующее законодательство не допускает отказа от ответственности за косвенный или случайный ущерб, то описанные выше ограничения не действуют.
Редакции
- Вер. 1.0 (9 октября 2012 г.): Бюллетень опубликован.