MS03-031: Patch cumulativo de segurança para SQL Server

Traduções deste artigo Traduções deste artigo
ID do artigo: 815495 - Exibir os produtos aos quais esse artigo se aplica.
Expandir tudo | Recolher tudo

Neste artigo

Sumário

A Microsoft lançou um patch de segurança para corrigir a vulnerabilidade nos seguintes produtos:
  • Microsoft SQL Server 2000 Service Pack 3 (SP3)
  • Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3
  • Microsoft SQL Server 2000 64-bit
  • Microsoft SQL Server 7.0 Service Pack 4 (SP4)
  • Microsoft Data Engine 1.0 Service Pack 4 (SP4)
Segue uma lista das vulnerabilidades que são resolvidas neste patch de segurança:
  • Captura do pipe nomeado
    Quando o SQL Server inicia, ele cria e monitora um pipe nomeado específico para conexões de entrada para o servidor. Um pipe nomeado é um canal unidirecional ou bidirecional nomeado especificamente para a comunicação entre um servidor de pipe e um ou mais clientes pipe. O SQL Server checa o pipe nomeado para verificar quais conexões podem fazer logon no sistema que está executando o SQL Server para executar dados armazenados no servidor.

    Há uma falha no método de verificação do pipe nomeado que poderia permitir que um invasor local no sistema que está executando o SQL Server capture (obtenha o controle de) o pipe nomeado quando outro cliente usar uma senha de logon autenticado para fazer logon. Isto permitiria que o invasor obtivesse o controle do pipe nomeado no mesmo nível de permissão de um usuário que está tentando conectar-se. Se o usuário que está se conectando remotamente possuir um nível maior de permissões que o invasor, o invasor irá assumir esses direitos quando o pipe nomeado estiver comprometido.
  • Negação de serviço do pipe nomeado
    No mesmo cenário dos pipes nomeados mencionada na seção "Captura do pipe nomeado" deste artigo, um usuário não-autenticado, que é local na intranet, deve enviar um pacote muito grande para um pipe nomeado específico em que o sistema que está executando o SQL Server esteja escutando e o tornando sem resposta.

    Esta vulnerabilidade não permite que um invasor execute um código qualquer ou aumente suas permissões, no entanto, uma condição de serviço negado ainda pode existir e você precisará reiniciar o servidor para restaurar a funcionalidade.
  • Estouro de buffer no SQL Server
    Há uma falha em uma função específica do Windows que poderia permitir que um usuário autenticado, com acesso direto para fazer logon no sistema que executa o SQL Server, crie um pacote específico que, ao ser enviado a uma porta LPC (local procedure call) do sistema, cause uma saturação do buffer. Se explorada com êxito, isto pode permitir que um usuário, com permissões limitadas no sistema, eleve suas permissões no nível da conta de serviço do SQL Server ou faça com que um código arbitrário seja executado.

Mais Informações

Para obter informações adicionais sobre estas vulnerabilidades e sobre como obter os patches, selecione o artigo da Base de Dados de Conhecimento Microsoft correspondente à sua versão do SQL Server na seguinte lista.

SQL Server 2000 Service Pack 3 (SP3) ou Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3 (SP3) (a página pode estar em inglês)

821277 MS03-031: Patch de segurança para o SQL Server 2000 Service Pack 3

Observações importantes

Leia estas observações importantes relacionadas à instalação deste patch de segurança em um computador que esteja executando SQL Server 2000 SP3:
Serviços UDDI (Universal Description, Discovery, and Integration).
Se instalar este patch de segurança em um computador que esteja executando o Microsoft Windows Server 2003 e tenha os Serviços UDDI instalados, você precisará executar uma das duas ações para reiniciar os Serviços UDDI, dependendo da circunstância. Os Serviços UDDI não irão continuar com o funcionamento normal até que você o faça.
  • Se nenhum outro serviço Web estiver em uso no computador que está executando o Windows Server 2003, você poderá reiniciar os Serviços UDDI reiniciando o IIS (Serviços de informações da Internet) da Microsoft. Reiniciar o IIS é o mesmo que primeiro interromper o IIS e depois iniciá-lo novamente, exceto pelo fato de isso ser feito com um único comando. Há dois modos para se reiniciar o IIS:
    • Usar a interface gráfica de usuário do IIS Manager.
    • Usar o utilitário de linha de comando IISReset.
  • Se outros serviços Web estiverem em uso no computador que está executando o Windows Server 2003, você não irá querer afetar sua operação. Para reiniciar os Serviços UDDI, execute as seguintes etapas:
    1. Inicie o utilitário IIS Manager.
    2. Localize a pasta Pools de aplicativo e clique com o botão direito do mouse no ícone MSUDDIAppPool.
    3. Marque a opção de menu Reciclar. Ao fazer isso, você fará com que os Serviços UDDI continuem a operação sem afetar qualquer outro serviço Web no computador.
Uma mensagem de erro ocorre quando você se conecta a um computador com o Microsoft Windows NT 4.0, usando pipes nomeados
Ao conectar-se a um computador com Windows NT 4.0 executando o Microsoft SQL Server 2000, usando pipes nomeados e a conexão for feita por um usuário não administrativo, você pode receber uma mensagem de erro semelhante a uma das seguintes:
Mensagem 1
A conexão não pôde ser estabelecida. O SQL Server não existe.
Mensagem 2
A conexão não pôde ser estabelecida. Acesso negado.
Para obter um hotfix que resolva esta mensagem de erro, consulte o artigo a seguir na Base de Dados de Conhecimento da Microsoft (a página pode estar em inglês):
823492 Mensagem de erro "A conexão não pôde ser estabelecida" ao conectar-se a um computador com o Windows NT 4.0 executando o SQL Server 2000 ou o SQL Server 7.0

SQL Server 2000 64-bit (a página pode estar em inglês)

821280 MS03-031: Patch de segurança para o SQL Server 2000 64 bits

SQL Server 7.0 Service Pack 4 (SP4) ou Microsoft Data Engine 1.0 Service Pack 4 (SP4) (a página pode estar em inglês)

821279 MS03-031: Patch de segurança para o SQL Server 7.0 Service Pack 4

Observações Importantes

Leia estas observações importantes relacionadas à instalação deste patch de segurança em um computador que esteja executando o SQL Server 7.0 Service Pack 4 (SP4).
Uma mensagem de erro ocorre quando você se conecta a um computador com o Microsoft Windows NT 4.0, usando pipes nomeados
Ao conectar-se a um computador com Windows NT 4.0 executando o Microsoft SQL Server 2000, usando pipes nomeados e a conexão for feita por um usuário não administrativo, você pode receber uma mensagem de erro semelhante a uma das seguintes:
Mensagem 1
A conexão não pôde ser estabelecida. O SQL Server não existe.
Mensagem 2
A conexão não pôde ser estabelecida. Acesso negado.
Para obter um hotfix que resolva esta mensagem de erro, consulte o artigo a seguir na Base de Dados de Conhecimento da Microsoft (a página pode estar em inglês):
823492 Mensagem de erro "A conexão não pôde ser estabelecida" ao conectar-se a um computador com o Windows NT 4.0 executando o SQL Server 2000 ou o SQL Server 7.0

Propriedades

ID do artigo: 815495 - Última revisão: sexta-feira, 7 de julho de 2006 - Revisão: 2.2
A informação contida neste artigo aplica-se a:
  • Microsoft SQL Server 2000 64-bit Edition
  • Microsoft SQL Server 2000 Service Pack 3
  • Microsoft SQL Server 2000 Service Pack 3a
  • Microsoft SQL Server 7.0 Service Pack 4
  • Microsoft SQL Server 2000 Desktop Engine (MSDE) SP3
  • Microsoft Data Engine 1.0
  • Microsoft Data Engine 1.0
Palavras-chave: 
kbsqlserv2000presp4fea kbsqlserv700presp5fix kbqfe kbfix kbbug KB815495

Submeter comentários

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com