Source: https://technet.microsoft.com/pt-BR/library/security/ms14-044.aspx
Timestamp: 2017-09-26 02:48:56+00:00

Document:
Boletim de Segurança da Microsoft MS10-044 - Importante
Vulnerabilidades no SQL Server pode permitir a elevação de privilégio (2984340)
Publicado em: 12 de agosto de 2014 | Atualizado: 13 de agosto de 2014
Vulnerabilidade no SQL Master Data XSS - CVE-2014-1820
Vulnerabilidade de saturação de pilha no Microsoft SQL Server - CVE-2014-4061
Esta atualização de segurança elimina duas vulnerabilidades relatadas de forma privada no Microsoft SQL Server (uma no SQL Server Master Data Services e outro no RDBMS do SQL Server). A mais grave dessas vulnerabilidades afetando o SQL Server Master Data Services pode permitir a elevação de privilégio se um usuário visitar um site especialmente criado que injete um script do lado cliente na instância do usuário do Internet Explorer. Em todos os casos, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que os leve ao site do invasor ou abrindo um anexo enviado por email.
Esta atualização de segurança é classificada como Importante para edições com suporte do Microsoft SQL Server 2008 Service Pack 3, Microsoft SQL Server 2008 R2 Service Pack 2 e Microsoft SQL Server 2012 Service Pack 1; ela também é classificada como Importante para o Microsoft SQL Server 2014 para sistemas baseados em x64. Para obter mais informações, consulte a seção Softwares afetados e não afetados.
A atualização de segurança elimina as vulnerabilidades, corrigindo como o SQL Master Data Services (MDS) codifica a saída e como o SQL Server manipula as consultas T-SQL. Para obter mais informações sobre as vulnerabilidades, consulte a subseção Perguntas frequentes (FAQ) para a vulnerabilidade específica mais adiante, neste boletim.
Recomendação. A maioria dos clientes tem o recurso de atualizações automáticas habilitado e não precisará tomar nenhuma providência porque esta atualização de segurança será baixada e instalada automaticamente. Para obter informações sobre opções de configuração específicas em atualizações automáticas, veja o Artigo 294871 da Base de Conhecimento Microsoft. Para clientes que não têm a atualização automática habilitada, as etapas em Ativar ou desativar a atualização automática poderão ser usadas para ativar a atualização automática. Observação: Em determinados cenários, os clientes que usam o Microsoft SQL Server Master Data Services (MDS) não conseguem obter esta atualização automaticamente. Consulte as entradas Problemas conhecidos no Artigo da Base de Dados de Conhecimento Microsoft 2969894 para obter mais informações e as etapas de solução alternativa.
Artigos da Base de Conhecimento Microsoft: 2984340, 2977315
Atualizações de software GDR
Atualizações de software QFE
Microsoft SQL Server 2008 para sistemas de 32 bits Service Pack 3
GDR: 2977321 substitui 2716436 no MS12-070
QFE: 2977322 substitui 2716435 no MS12-070
Microsoft SQL Server 2008 para sistemas baseados em x64 Service Pack 3
Microsoft SQL Server 2008 para sistemas baseados em Itanium Service Pack 3
Microsoft SQL Server 2008 R2 para sistemas de 32 bits Service Pack 2
Microsoft SQL Server 2008 R2 para sistemas baseados em x64 Service Pack 2
Microsoft SQL Server 2008 R2 para sistemas baseados em Itanium Service Pack 2
Service Pack 1 para Microsoft SQL Server 2012 para sistemas de 32 bits
Service Pack 1 para Microsoft SQL Server 2012 para sistemas baseados em x64
Microsoft SQL Server 2014 para sistemas baseados em x64
Microsoft SQL Server 2005 Express Edition com Advanced Services Service Pack 4
Microsoft SQL Server 2005 para sistemas de 32 bits Service Pack 4
Microsoft SQL Server 2005 para sistemas baseados em x64 Service Pack 4
Microsoft SQL Server 2005 para sistemas baseados em Itanium Service Pack 4
Service Pack 2 para Microsoft SQL Server 2012 para sistemas de 32 bits
Service Pack 2 para Microsoft SQL Server 2012 para sistemas baseados em x64
Microsoft SQL Server 2014 para sistemas de 32 bits
Há tanto atualizações GDR quanto QFE para a minha versão do SQL Server. Como sei qual atualização devo usar?
Primeiro, determine o número da versão de seu SQL Server. Para obter mais informações sobre como determinar o número da versão do SQL Server, consulte o artigo 321185 da Microsoft Knowledge Base.
Segundo, na tabela abaixo, localize o intervalo de versões a que o número de versão de seu SQL Server pertence. A atualização correspondente é a que você precisa instalar.
Observação Se o número da sua versão do SQL Server não pertence a nenhum dos intervalos na tabela a seguir, não há mais suporte para sua versão do SQL Server. Atualize para o Service Pack ou produto SQL Server mais recente para aplicar esta e futuras atualizações de segurança.
Intervalo de versões do SQL Server
Atualização do SQL Server
10. 50.4000-10.50.4017
10.50.4251-10.50.4319
Para SQL Server 2012:
11.0.3000-11.0.3129
11.0.3300-11.0.3447
12.0.2000 e superior
12.0.2000.8 e superior
12.0.2300-12.0.2370
Para obter instruções adicionais de instalação, consulte a subseção Informações de atualização de segurança para sua edição do SQL Server na seção Informações da atualização.
Essas atualizações de segurança também serão oferecidas para clusters do SQL Server?
Sim. As atualizações também serão oferecidas às instâncias do SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 e SQL Server 2014 com cluster. As atualizações para clusters do SQL Server exigirão a interação do usuário.
Se o cluster do SQL Server 2008, SQL Server 2008 R2, SQL Server 2012 ou SQL Server 2014 tiver um nó passivo, a Microsoft recomenda que você faça a varredura e aplique a atualização primeiro ao nó inativo e depois faça o mesmo ao nó passivo, para reduzir o tempo de inatividade. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.
As atualizações de segurança podem ser aplicadas nas instâncias do SQL Server no Windows Azure (IaaS)?
Sim. As atualizações de segurança podem ser oferecidas para as instâncias do SQL Server no Windows Azure (IaaS) por meio do Microsoft Update ou os clientes podem baixá-las no Centro de Download da Microsoft e aplicá-las manualmente.
Uma vulnerabilidade no XSS existe no SQL Master Data Services (MDS) e pode permitir que um invasor injete um script do lado cliente na instância do usuário do Internet Explorer. O script poderia falsificar conteúdo, divulgar informações ou realizar todas as ações que o usuário pode realizar no site afetado, em nome do usuário visado.
Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2014-1820.
Em um cenário de ataque com base na Web, o invasor pode hospedar um site especialmente criado para explorar essas vulnerabilidades através do Internet Explorer e então, convencer um usuário a visualizar o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem conter conteúdo especialmente criado para explorar essas vulnerabilidades. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que os leve ao site do invasor ou abrindo um anexo enviado por email.
O Filtro de XSS no Internet Explorer 8, Internet Explorer 9, Internet Explorer 10 e Internet Explorer 11 evita este ataque a usuários ao navegar para um site na zona da Internet. O Filtro de XSS no Internet Explorer 8, Internet Explorer 9, Internet Explorer 10 e Internet Explorer 11 é ativado por padrão na zona da Internet, mas não é ativado por padrão na Zona da Intranet.
Habilite o filtro de XSS do Internet Explorer 8, Internet Explorer 9, Internet Explorer 10 e Internet Explorer 11 na zona da Intranet
Você pode ajudar a impedir a exploração desta vulnerabilidade alterando suas configurações para permitir o filtro XSS na zona de segurança da Intranet local. (O filtro XSS é ativado por padrão na zona de segurança da Internet.) Para isso, execute as seguintes etapas:
No Internet Explorer 8, 9, 10 e 11, clique em Opções da Internet no menu Ferramentas.
Em Configurações, na seção Scripts, sob Habilitar filtro de XSS, clique Habilitar e, em seguida, clique em OK.
Impacto da solução alternativa. Sites internos não sinalizados anteriormente como riscos de XSS poderiam ser sinalizados.
Para desfazer esta solução alternativa, execute as seguintes etapas.
Em Configurações, na seção Scripts em Habilitar Filtro de XSS, clique em Desabilitar e, em seguida, clique em OK.
A vulnerabilidade é causada quando o SQL Master Data Services (MDS) não codifica adequadamente a saída.
O que é script entre sites (XSS)?
O Script entre sites (XSS) é uma vulnerabilidade de classe de segurança que pode permitir que um invasor injete scripts na resposta a uma solicitação de página da Web. Este script é executado pelo aplicativo solicitante, geralmente um navegador da Web. O script pode falsificar conteúdo, divulgar informações ou efetuar todas as ações que o usuário pode realizar no site afetado, em nome do usuário visado.
O que é o SQL Master Data Services (MDS)?
O Master Data Services (MDS) é a solução do SQL Server para o gerenciamento de dados mestres. O gerenciamento de dados mestres (MDM) descreve os esforços feitos por uma organização para descobrir e definir listas não transacionais de dados, com o objetivo de compilar listas que possam passar por manutenção.
Um invasor que explorar a vulnerabilidade com êxito poderá injetar um script do lado do cliente na instância do Internet Explorer do usuário. O script poderia falsificar conteúdo, divulgar informações ou realizar todas as ações que o usuário pode realizar no site afetado, em nome do usuário visado.
O invasor pode explorar a vulnerabilidade enviando um link especialmente criado ao usuário e convencendo-o a clicar no link. O invasor também pode hospedar um site que contém uma página da Web projetada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade.
Os servidores que executam edições afetadas do Microsoft SQL Server são os que mais correm risco. Servidores SQL que não têm o SQL Master Data Services instalado não estão em risco com esta vulnerabilidade e não receberão a atualização.
A atualização elimina a vulnerabilidade corrigindo a forma como o SQL Master Data Services (MDS) codifica saída.
Existe uma vulnerabilidade de negação de serviço no SQL Server. O invasor que explorar essa vulnerabilidade com êxito poderá fazer com que o servidor pare de responder até que uma reinicialização manual seja feita.
Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2010-4061.
A vulnerabilidade é causada quando o SQL Server processa uma consulta T-SQL incorretamente formatada.
O que é T-SQL?
Transact-SQL (T-SQL) é uma linguagem que é usada para consultar o mecanismo do banco de dados do SQL Server. Para obter mais informações, consulte Visão geral do Transact-SQL.
Um invasor que explorar a vulnerabilidade com êxito poderá fazer o sistema de destino parar de responder. Uma reinicialização manual seria necessária para restaurar o funcionamento normal.
Um invasor local pode explorar esta vulnerabilidade criando uma declaração T-SQL especialmente criada que faça com que o Microsoft SQL Server pare de responder.
As estações de trabalho e os servidores que estejam executando o Microsoft SQL Server são os que mais correm risco.
A atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft SQL Server lida com as consultas T-SQL.
Para atualização do GDR do SQL Server 2008 para sistemas de 32 bits Service Pack 3:
Para atualização do GDR do SQL Server 2008 para sistemas x64 Service Pack 3:
Para atualização do GDR do SQL Server 2008 para sistemas baseados no Itanium Service Pack 3:
Para atualização do QFE do SQL Server 2008 para sistemas de 32 bits Service Pack 3:
Para atualização do QFE do SQL Server 2008 para sistemas x64 Service Pack 3:
Para atualização do QFE do SQL Server 2008 para sistemas baseados no Itanium Service Pack 3:
A atualização também será oferecida às instâncias do SQL Server 2008 com cluster.
Se seu cluster do SQL Server 2008 tiver um nó passivo, a Microsoft recomenda que você faça a varredura e aplique a atualização primeiro ao nó passivo e depois faça o mesmo ao nó ativo para reduzir o tempo de inatividade. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.
Uma reinicialização da instância do SQL Server é necessária.
Se uma reinicialização do sistema for necessária, o instalador a solicitará ou retornará o código de saída 3010.
Para todas as edições com suporte do SQL Server 2008:
Para atualização do GDR do SQL Server 2008 Service Pack 3:
Consulte o Artigo 2977321 da Base de Dados de Conhecimento Microsoft
Para atualização do QFE do SQL Server 2008 Service Pack 3:
Consulte o Artigo 2977322 da Base de Dados de Conhecimento Microsoft
Para atualização do GDR do SQL Server 2008 R2 para sistemas de 32 bits Service Pack 2:
Para atualização do GDR do SQL Server 2008 R2 para sistemas x64 Service Pack 2:
Para atualização do GDR do SQL Server 2008 R2 para sistemas Itanium Service Pack 2:
Para atualização do QFE do SQL Server 2008 R2 para sistemas de 32 bits Service Pack 2:
Para atualização do QFE do SQL Server 2008 R2 para sistemas x64 Service Pack 2:
Para atualização do QFE do SQL Server 2008 R2 para sistemas Itanium Service Pack 2:
A atualização também será oferecida às instâncias do SQL Server 2008 R2 com cluster.
Se seu cluster do SQL Server 2008 R2 tiver um nó passivo, a Microsoft recomenda que você faça a varredura e aplique a atualização primeiro ao nó passivo e depois faça o mesmo ao nó ativo para reduzir o tempo de inatividade. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.
Para todas as edições com suporte do SQL Server 2008 R2:
Para atualização do GDR do SQL Server 2008 R2 Service Pack 2:
Consulte o Artigo 2977320 da Base de Dados de Conhecimento Microsoft
Para atualização do QFE do SQL Server 2008 R2 Service Pack 2:
Consulte o Artigo 2977319 da Base de Dados de Conhecimento Microsoft
Para atualização do GDR do SQL Server 2012 para sistemas de 32 bits Service Pack 1:
Para atualização do GDR do SQL Server 2012 para sistemas x64 Service Pack 1:
Para atualização do QFE do SQL Server 2012 para sistemas de 32 bits Service Pack 1:
Para atualização do QFE do SQL Server 2012 para sistemas x64 Service Pack 1:
A atualização também será oferecida às instâncias do SQL Server 2012 com cluster.
Se seu cluster do SQL Server 2012 tiver um nó passivo, a Microsoft recomenda que você faça a varredura e aplique a atualização primeiro ao nó passivo e depois faça o mesmo ao nó ativo para reduzir o tempo de inatividade. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.
Para todas as edições com suporte do SQL Server 2012:
O procedimento de remoção da atualização difere de acordo com o cenário da seguinte maneira:
Cenário 1: Se o mecanismo do SQL Server for instalado sem o SQL Server Master Data Services (MDS) no mesmo computador, você poderá remover a atualização usando o item Adicionar ou Remover Programas no Painel de Controle. Não é necessário remover o mecanismo do SQL Server.
Cenário 2: Se o mecanismo do SQL Server estiver instalado juntamente com o MDS no mesmo computador, siga estas etapas:
Remova a atualização para o mecanismo do SQL Server utilizando o item Adicionar ou Remover Programas no Painel de Controle. Não é necessário remover o mecanismo do SQL Server.
Faça o backup do banco de dados MDS.
Remova o componente MDS.
Reinstale o componente MDS.
Aplique quaisquer pacotes ou atualizações de serviço necessários do SQL Server para trazer o MDS a sua versão anterior à atualização de segurança.
Cenário 3: Se o MDS estiver em um computador que não tenha o mecanismo do SQL Server instalado, siga estas etapas:
Para atualização do GDR do SQL Server 2012 Service Pack 1:
Consulte o Artigo 2977326 da Base de Dados de Conhecimento Microsoft
Para atualização do QFE do SQL Server 2012 Service Pack 1:
Consulte o Artigo 2977325 da Base de Dados de Conhecimento Microsoft
Para atualização do GDR do SQL Server 2014 para sistemas x64:
Para atualização do QFE do SQL Server 2014 para sistemas x64:
A atualização também será oferecida às instâncias do SQL Server 2014 com cluster.
Se seu cluster do SQL Server 2014 tiver um nó passivo, a Microsoft recomenda que você faça a varredura e aplique a atualização primeiro ao nó passivo e depois faça o mesmo ao nó ativo para reduzir o tempo de inatividade. Quando todos os componentes tiverem sido atualizados em todos os nós, a atualização não será mais oferecida.
Para todas as edições com suporte do SQL Server 2014, siga as seguintes etapas:
Para atualização do GDR de SQL Server 2014:
Consulte o Artigo 2977315 da Base de Dados de Conhecimento Microsoft
Para atualização do QFE de SQL Server 2014:
Consulte o Artigo 2977316 da Base de Dados de Conhecimento Microsoft
V1.1 (13 de agosto de 2014): Boletim revisado para corrigir a Pergunta frequente de atualização que aborda a pergunta: essas atualizações de segurança serão oferecidas para clusters do SQL Server?
Página gerada em 20-08-2014 15:12Z-07:00.

References: Artigo 294871
 artigo 321185
 Artigo 2977321
 Artigo 2977322
 Artigo 2977320
 Artigo 2977319
 Artigo 2977326
 Artigo 2977325
 Artigo 2977315
 Artigo 2977316