MS03-031: Patch de segurança cumulativo para o SQL Server

Traduções de Artigos Traduções de Artigos
Artigo: 815495 - Ver produtos para os quais este artigo se aplica.
Expandir tudo | Reduzir tudo

Nesta página

Sumário

A Microsoft disponibilizou um patch de segurança para corrigir vulnerabilidades nos seguintes produtos:
  • Microsoft SQL Server 2000 Service Pack 3 (SP3)
  • Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3
  • Microsoft SQL Server 2000 de 64 bits
  • Microsoft SQL Server 7.0 Service Pack 4 (SP4)
  • Microsoft Data Engine 1.0 Service Pack 4 (SP4)
Segue-se uma lista das vulnerabilidades resolvidas neste patch de segurança:
  • Ataque a pipes nomeados
    Quando o SQL Server é iniciado, cria e, em seguida, escuta num pipe nomeado específico, para detectar ligações a receber no servidor. Um pipe nomeado é um canal de um ou dois sentidos especificamente nomeado para a comunicação entre um servidor de pipes e um ou mais clientes de pipes. O SQL Server controla o pipe nomeado para verificar que ligações podem iniciar sessão, no sistema com o SQL Server em execução, para executarem consultas a dados guardados no servidor.

    Existe uma falha no método de verificação do pipe nomeado que pode permitir a um atacante local, em relação ao sistema que executa o SQL Server, atacar (obter o controlo de) o pipe nomeado, quando outro cliente utilizar uma palavra-passe de início de sessão autenticada para iniciar sessão. Isto permite ao atacante obter o controlo do pipe nomeado com o mesmo nível de permissões do utilizador que está a tentar ligar. Se o utilizador que está a tentar ligar remotamente tiver um nível de permissões mais elevado que o atacante, este irá assumir esses direitos quando o pipe nomeado ficar comprometido.
  • Denial-of-service do pipe nomeado
    No mesmo cenário de pipes nomeados referido na secção "Ataque a pipes nomeados" deste artigo, um utilizador não autenticado local, em relação à intranet, poderá conseguir enviar um pacote muito grande para um pipe nomeado específico, no qual o sistema que está a executar o SQL Server efectua a escuta, e fazer com que este deixe de responder.

    Esta vulnerabilidade não permite a um atacante executar código arbitrário nem elevar as respectivas permissões; contudo, poderá ainda existir uma condição de denial-of-service que exija o reinício do servidor para restaurar a funcionalidade.
  • Sobrecarga da memória intermédia do SQL Server
    Existe uma falha numa função específica do Windows que poderá permitir a um utilizador autenticado, com acesso directo para iniciar sessão no sistema que executa o SQL Server, criar um pacote especialmente concebido que, quando enviado para a porta da chamada de procedimento local (LPC, local procedure call) de escuta do sistema, pode provocar uma sobrecarga da memória intermédia. Se esta falha for explorada com êxito, poderá permitir a um utilizador com permissões limitadas no sistema elevar as suas permissões para o nível da conta de serviço do SQL Server, ou levar à execução de código arbitrário.
Este artigo poderá conter hiperligações para conteúdo em inglês (ainda não traduzido).

Mais Informação

Para obter mais informações sobre estas vulnerabilidades e como obter os patches, seleccione o artigo da base de dados de conhecimento da Microsoft (KB, Microsoft Knowledge Base) que corresponda à sua versão do SQL Server na lista seguinte.

SQL Server 2000 Service Pack 3 (SP3) ou Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3 (SP3)

821277 MS03-031: Patch de segurança para o SQL Server 2000 Service Pack 3

Notas importantes

Leia estas notas importantes relativas à instalação deste patch de segurança num computador com o SQL Server 2000 SP3 em execução.
Serviços UDDI (Universal Description, Discovery, and Integration)
Se instalar este patch de segurança num computador com o Microsoft Windows Server 2003 e os serviços UDDI estiverem instalados, deverá efectuar uma das seguintes acções para reiniciar os serviços UDDI, dependendo das circunstâncias. Os serviços UDDI não retomarão o funcionamento normal até que efectue uma das acções.
  • Se não estiver a ser utilizado nenhum outro serviço da Web no computador com o Windows Server 2003, pode reiniciar os serviços UDDI reiniciando o Microsoft IIS (Serviços de informação Internet - Internet Information Services). Reiniciar o IIS é o mesmo que parar o IIS e, seguida, reiniciá-lo, com a diferença de que é feito através de um único comando. Existem duas maneiras de reiniciar o IIS:
    • Utilizar a interface gráfica do utilizador do gestor do IIS.
    • Utilizar o utilitário de linha de comandos IISReset.
  • Se outros serviços da Web estiverem a ser utilizados no computador com o Windows Server 2003 em execução, poderá não pretender afectar o seu funcionamento. Para reiniciar os serviços UDDI, siga estes passos:
    1. Inicie o utilitário gestor do IIS.
    2. Localize a pasta Agrupamento de aplicações (Pools Application) e, em seguida, clique com o botão direito do rato no ícone MSUDDIAppPool.
    3. Clique para seleccionar a opção de menu Reciclar (Recycle). Procedendo desta forma irá permitir que os serviços UDDI retomem o funcionamento sem afectar quaisquer outros serviços da Web no computador.
Ocorre uma mensagem de erro quando liga a um computador baseado no Microsoft Windows NT 4.0 através de pipes nomeados
Quando liga a um computador baseado no Windows NT 4.0 com o Microsoft SQL Server 2000 em execução, através da utilização de pipes nomeados, e essa ligação é feita por um utilizador não-administrador, poderá receber uma mensagem de erro semelhante a uma das seguintes:
Mensagem 1
Não foi possível estabelecer a ligação. O SQL Server não existe
Mensagem 2
Não foi possível estabelecer a ligação. Acesso negado.
Para obter uma correcção que resolva esta mensagem de erro, consulte o seguinte artigo na base de dados de conhecimento da Microsoft (KB, Microsoft Knowledge Base):
823492 "Connection could not be established" error message when you connect to a Windows NT 4.0-based computer that is running SQL Server 2000 or SQL Server 7.0

SQL Server 2000 de 64 bits

821280 MS03-031: Patch de segurança para o SQL Server 2000 de 64 bits

SQL Server 7.0 Service Pack 4 (SP4) ou Microsoft Data Engine 1.0 Service Pack 4 (SP4)

821279 MS03-031: Patch de segurança para o SQL Server 7.0 Service Pack 4

Notas importantes

Leia estas notas importantes relativas à instalação deste patch de segurança num computador com o SQL Server 7.0 Service Pack 4 (SP4).
Ocorre uma mensagem de erro quando liga a um computador baseado no Microsoft Windows NT 4.0 através de pipes nomeados
Quando liga a um computador baseado no Windows NT 4.0 com o Microsoft SQL Server 2000 em execução, através da utilização de pipes nomeados, e essa ligação é feita por um utilizador não-administrador, poderá receber uma mensagem de erro semelhante a uma das seguintes:
Mensagem 1
Não foi possível estabelecer a ligação. O SQL Server não existe
Mensagem 2
Não foi possível estabelecer a ligação. Acesso negado.
Para obter uma correcção que resolva esta mensagem de erro, consulte o seguinte artigo na base de dados de conhecimento da Microsoft (KB, Microsoft Knowledge Base):
823492 "Connection could not be established" error message when you connect to a Windows NT 4.0-based computer that is running SQL Server 2000 or SQL Server 7.0

Propriedades

Artigo: 815495 - Última revisão: 10 de julho de 2006 - Revisão: 2.2
A informação contida neste artigo aplica-se a:
  • Microsoft SQL Server 2000 Service Pack 3
  • Microsoft SQL Server 2000 Service Pack 3a
  • Microsoft SQL Server 7.0 Service Pack 4
  • Microsoft SQL Server 2000 Desktop Engine (MSDE) SP3
  • Microsoft Data Engine 1.0
  • Microsoft Data Engine 1.0
  • Microsoft SQL Server 2000 64-bit Edition
Palavras-chave: 
kbsqlserv2000presp4fea kbsqlserv700presp5fix kbqfe kbfix kbbug KB815495

Submeter comentários

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com