ID do artigo: 815495 - �ltima revis�o: sexta-feira, 7 de julho de 2006 - Revis�o: 2.2

MS03-031: Patch cumulativo de seguran�a para SQL Server

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Sum�rio

A Microsoft lan�ou um patch de seguran�a para corrigir a vulnerabilidade nos seguintes produtos:

Microsoft SQL Server 2000 Service Pack 3 (SP3)
Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3
Microsoft SQL Server 2000 64-bit
Microsoft SQL Server 7.0 Service Pack 4 (SP4)
Microsoft Data Engine 1.0 Service Pack 4 (SP4)

Segue uma lista das vulnerabilidades que s�o resolvidas neste patch de seguran�a:

Captura do pipe nomeado
Quando o SQL Server inicia, ele cria e monitora um pipe nomeado espec�fico para conex�es de entrada para o servidor. Um pipe nomeado � um canal unidirecional ou bidirecional nomeado especificamente para a comunica��o entre um servidor de pipe e um ou mais clientes pipe. O SQL Server checa o pipe nomeado para verificar quais conex�es podem fazer logon no sistema que est� executando o SQL Server para executar dados armazenados no servidor.

H� uma falha no m�todo de verifica��o do pipe nomeado que poderia permitir que um invasor local no sistema que est� executando o SQL Server capture (obtenha o controle de) o pipe nomeado quando outro cliente usar uma senha de logon autenticado para fazer logon. Isto permitiria que o invasor obtivesse o controle do pipe nomeado no mesmo n�vel de permiss�o de um usu�rio que est� tentando conectar-se. Se o usu�rio que est� se conectando remotamente possuir um n�vel maior de permiss�es que o invasor, o invasor ir� assumir esses direitos quando o pipe nomeado estiver comprometido.
Nega��o de servi�o do pipe nomeado
No mesmo cen�rio dos pipes nomeados mencionada na se��o "Captura do pipe nomeado" deste artigo, um usu�rio n�o-autenticado, que � local na intranet, deve enviar um pacote muito grande para um pipe nomeado espec�fico em que o sistema que est� executando o SQL Server esteja escutando e o tornando sem resposta.

Esta vulnerabilidade n�o permite que um invasor execute um c�digo qualquer ou aumente suas permiss�es, no entanto, uma condi��o de servi�o negado ainda pode existir e voc� precisar� reiniciar o servidor para restaurar a funcionalidade.
Estouro de buffer no SQL Server
H� uma falha em uma fun��o espec�fica do Windows que poderia permitir que um usu�rio autenticado, com acesso direto para fazer logon no sistema que executa o SQL Server, crie um pacote espec�fico que, ao ser enviado a uma porta LPC (local procedure call) do sistema, cause uma satura��o do buffer. Se explorada com �xito, isto pode permitir que um usu�rio, com permiss�es limitadas no sistema, eleve suas permiss�es no n�vel da conta de servi�o do SQL Server ou fa�a com que um c�digo arbitr�rio seja executado.

Voltar para o in�cio

Mais Informa��es

Para obter informa��es adicionais sobre estas vulnerabilidades e sobre como obter os patches, selecione o artigo da Base de Dados de Conhecimento Microsoft correspondente � sua vers�o do SQL Server na seguinte lista.

Voltar para o in�cio

SQL Server 2000 Service Pack 3 (SP3) ou Microsoft SQL Server 2000 Desktop Engine (MSDE) Service Pack 3 (SP3) (a p�gina pode estar em ingl�s)

821277� (http://support.microsoft.com/kb/821277/ ) MS03-031: Patch de seguran�a para o SQL Server 2000 Service Pack 3

Observa��es importantes

Leia estas observa��es importantes relacionadas � instala��o deste patch de seguran�a em um computador que esteja executando SQL Server 2000 SP3:

Servi�os UDDI (Universal Description, Discovery, and Integration).

Se instalar este patch de seguran�a em um computador que esteja executando o Microsoft Windows Server 2003 e tenha os Servi�os UDDI instalados, voc� precisar� executar uma das duas a��es para reiniciar os Servi�os UDDI, dependendo da circunst�ncia. Os Servi�os UDDI n�o ir�o continuar com o funcionamento normal at� que voc� o fa�a.

Se nenhum outro servi�o Web estiver em uso no computador que est� executando o Windows Server 2003, voc� poder� reiniciar os Servi�os UDDI reiniciando o IIS (Servi�os de informa��es da Internet) da Microsoft. Reiniciar o IIS � o mesmo que primeiro interromper o IIS e depois inici�-lo novamente, exceto pelo fato de isso ser feito com um �nico comando. H� dois modos para se reiniciar o IIS:
- Usar a interface gr�fica de usu�rio do IIS Manager.
- Usar o utilit�rio de linha de comando IISReset.
Se outros servi�os Web estiverem em uso no computador que est� executando o Windows Server 2003, voc� n�o ir� querer afetar sua opera��o. Para reiniciar os Servi�os UDDI, execute as seguintes etapas:
1. Inicie o utilit�rio IIS Manager.
2. Localize a pasta Pools de aplicativo e clique com o bot�o direito do mouse no �cone MSUDDIAppPool.
3. Marque a op��o de menu Reciclar. Ao fazer isso, voc� far� com que os Servi�os UDDI continuem a opera��o sem afetar qualquer outro servi�o Web no computador.

Uma mensagem de erro ocorre quando voc� se conecta a um computador com o Microsoft Windows NT 4.0, usando pipes nomeados

Ao conectar-se a um computador com Windows NT 4.0 executando o Microsoft SQL Server 2000, usando pipes nomeados e a conex�o for feita por um usu�rio n�o administrativo, voc� pode receber uma mensagem de erro semelhante a uma das seguintes:

Mensagem 1

A conex�o n�o p�de ser estabelecida. O SQL Server n�o existe.

Mensagem 2

A conex�o n�o p�de ser estabelecida. Acesso negado.

Para obter um hotfix que resolva esta mensagem de erro, consulte o artigo a seguir na Base de Dados de Conhecimento da Microsoft (a p�gina pode estar em ingl�s):

823492� (http://support.microsoft.com/kb/823492/ ) Mensagem de erro "A conex�o n�o p�de ser estabelecida" ao conectar-se a um computador com o Windows NT 4.0 executando o SQL Server 2000 ou o SQL Server 7.0

Voltar para o in�cio

SQL Server 2000 64-bit (a p�gina pode estar em ingl�s)

821280� (http://support.microsoft.com/kb/821280/ ) MS03-031: Patch de seguran�a para o SQL Server 2000 64 bits

Voltar para o in�cio

SQL Server 7.0 Service Pack 4 (SP4) ou Microsoft Data Engine 1.0 Service Pack 4 (SP4) (a p�gina pode estar em ingl�s)

821279� (http://support.microsoft.com/kb/821279/ ) MS03-031: Patch de seguran�a para o SQL Server 7.0 Service Pack 4

Observa��es Importantes

Leia estas observa��es importantes relacionadas � instala��o deste patch de seguran�a em um computador que esteja executando o SQL Server 7.0 Service Pack 4 (SP4).

Uma mensagem de erro ocorre quando voc� se conecta a um computador com o Microsoft Windows NT 4.0, usando pipes nomeados

Mensagem 1

A conex�o n�o p�de ser estabelecida. O SQL Server n�o existe.

Mensagem 2

A conex�o n�o p�de ser estabelecida. Acesso negado.

Para obter um hotfix que resolva esta mensagem de erro, consulte o artigo a seguir na Base de Dados de Conhecimento da Microsoft (a p�gina pode estar em ingl�s):

Voltar para o in�cio