ID do artigo: 821277 - �ltima revis�o: segunda-feira, 23 de janeiro de 2006 - Revis�o: 7.2

MS03-031: Patch de seguran�a para o SQL Server 2000 Service Pack 3

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

A Microsoft distribui corre��es de seguran�a do SQL Server 2000 como um arquivo que pode ser baixado. Como as corre��es de seguran�a s�o cumulativas, cada vers�o nova cont�m todos os hotfixes e corre��es de seguran�a inclusos na vers�o anterior da corre��o de seguran�a do SQL Server 2000. Voc� n�o precisa instalar um patch de seguran�a anterior antes de instalar o mais recente.

Para obter informa��es adicionais sobre o service pack mais recente para o Microsoft SQL Server 2000, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft:

290211� (http://support.microsoft.com/kb/290211/ ) Como obter o service pack mais recente para o SQL Server 2000

Voltar para o in�cio

INTRODU��O

Este artigo da Base de Dados de Conhecimento da Microsoft cont�m uma lista de todas as corre��es de seguran�a dispon�veis para o SQL Server 2000 Service Pack 3 (SP3), o SQL Server 2000 Service Pack 3a (SP3a), o SQL Server 2000 Desktop Engine (MSDE) Service Pack 3 (SP3) e o SQL Server 2000 Desktop Engine (MSDE) Service Pack 3a (SP3a).

Voltar para o in�cio

Observa��es importantes

Esse pacote cumulativo n�o cont�m as corre��es de seguran�a contidas no MDAC (Microsoft Data Access Components) e nos Servi�os de an�lise.

Segue uma lista das vulnerabilidades resolvidas por esse patch de seguran�a:

Captura do pipe nomeado
Quando o SQL Server inicia, ele cria e monitora um pipe nomeado espec�fico para conex�es de entrada no servidor. Um pipe nomeado � um canal unidirecional ou bidirecional nomeado especificamente para a comunica��o entre um servidor de pipe e um ou mais clientes. O SQL Server checa o pipe nomeado para verificar quais conex�es podem fazer logon no sistema que est� executando o SQL Server para consultar dados armazenados no servidor.

H� uma falha no m�todo de verifica��o do pipe nomeado que permite que um invasor local no sistema que est� executando o SQL Server, capture (obtenha o controle de) o pipe nomeado quando outro cliente usar uma senha de logon autenticado para conectar-se. Isso permitiria que o invasor obtivesse o controle do pipe nomeado no mesmo n�vel de permiss�o de um usu�rio que est� tentando conectar-se. Se o usu�rio que est� se conectando remotamente possuir um n�vel maior de permiss�es comparado ao do invasor, ele ir� assumir esses direitos quando o pipe nomeado estiver comprometido.
Nega��o de servi�o do pipe nomeado
Na situa��o dos pipes nomeados mencionada na se��o "Captura do pipe nomeado" deste artigo, um usu�rio n�o-autenticado, que � local na intranet, deve enviar um pacote muito grande para um pipe nomeado espec�fico em que o sistema que est� executando o SQL Server esteja atendendo e o tornando inst�vel.

Essa vulnerabilidade n�o permite que um invasor execute um c�digo qualquer ou aumente suas permiss�es; no entanto, uma condi��o de servi�o negado ainda pode existir e voc� precisar� reiniciar o servidor para restaurar a funcionalidade.
Satura��o do buffer no SQL Server
H� uma falha em uma fun��o espec�fica do Windows que pode permitir que um usu�rio n�o-autenticado, com acesso direto de conex�o ao sistema que executa o SQL Server, crie um pacote espec�fico que, ao ser enviado a uma porta LPC (local procedure call) do sistema, cause uma satura��o do buffer. Se explorada corretamente, � poss�vel permitir que um usu�rio, com permiss�es limitadas no sistema, aumente suas permiss�es no n�vel da conta de servi�o do SQL Server ou fa�a com que um c�digo arbitr�rio seja executado.

Voltar para o in�cio

O SQL Server solicita uma senha ap�s a instala��o do MS03-031: Patch de seguran�a cumulativo para o SQL Server

Ap�s a instala��o do "MS03-031: Patch de seguran�a cumulativo para o SQL Server", ao fazer altera��es no login padr�o do SQL Server usando o Enterprise Manager, o SQL Server solicitar� uma senha, mesmo que voc� n�o a tenha alterado. Se voc� n�o alterou a senha, n�o � poss�vel fechar a caixa de di�logo, independente da entrada usada. Para resolver ou evitar esse problema, fa�a o download e use a corre��o que est� no seguinte artigo da Base de Dados de Conhecimento da Microsoft:

826161� (http://support.microsoft.com/kb/826161/ ) CORRE��O: � solicitada uma confirma��o de senha ap�s a altera��o de login de um Servidor SQL padr�o

Voltar para o in�cio

Mais Informa��es

Observa��es importantes

Leia essas observa��es importantes sobre a instala��o desse patch em um computador executando o SQL Server 2000 SP3.

Servi�os UDDI (Universal Description, Discovery e Integration)

Se voc� instalar esse patch de seguran�a em um computador executando o Microsoft Windows Server 2003 e os servi�os UDDI estiverem instalados, ser� necess�rio executar uma entre duas a��es para reiniciar os servi�os UDDI, dependendo das circunst�ncias. Os Servi�os UDDI n�o ir�o continuar com o funcionamento normal at� que voc� o fa�a.

Se nenhum outro servi�o da Web estiver em uso no computador que est� executando o Windows Server 2003, voc� poder� reiniciar os Servi�os UDDI reiniciando o IIS (Internet Information Services) da Microsoft. Reiniciar o IIS � o mesmo que primeiro interromper o IIS e depois inici�-lo novamente, exceto pelo fato de isso ser feito com um �nico comando. H� dois modos para se reiniciar o IIS:
- Use a interface gr�fica de usu�rio do IIS Manager.
- Use o utilit�rio da linha de comando IISReset.
Se outros servi�os da Web estiverem em uso no computador que est� executando o Windows Server 2003, voc� n�o ir� afetar sua opera��o. Para reiniciar os Servi�os UDDI, as seguintes etapas:
1. Inicie o utilit�rio IIS Manager.
2. Localize a pasta Pools de aplicativo e clique com o bot�o direito do mouse no �cone MSUDDIAppPool.
3. Marque a op��o de menu Reciclar. Ao fazer isso, voc� far� com que os Servi�os UDDI continuem a opera��o sem afetar qualquer outro servi�o da Web no computador.

Uma mensagem de erro ocorre ao conectar-se a um computador com o Microsoft Windows NT 4.0 usando pipes nomeados

Ao conectar-se a um computador com o Windows NT 4.0 executando o Microsoft SQL Server 2000 usando pipes nomeados e a conex�o for feita por um usu�rio n�o administrativo, uma mensagem de erro semelhante a uma das seguintes ser� exibida:

Mensagem 1

N�o foi poss�vel estabelecer uma conex�o. O SQL Server n�o existe.

Mensagem 2

N�o foi poss�vel estabelecer uma conex�o. Acesso negado.

Para obter um hotfix que resolva essa mensagem de erro, consulte o artigo a seguir na Base de Dados de Conhecimento da Microsoft:

823492� (http://support.microsoft.com/kb/823492/ ) Mensagem de erro "N�o foi poss�vel estabelecer a conex�o" ao conectar-se a um computador com o Windows NT 4.0 executando o SQL Server 2000 ou o SQL Server 7.0

Voltar para o in�cio

Informa��es sobre o download

O seguinte arquivo est� dispon�vel para o download no Centro de Download da Microsoft:

http://www.microsoft.com/downloads/details.aspx?FamilyId=9814AE9D-BD44-40C5-ADD3-B8C99618E68D (http://www.microsoft.com/downloads/details.aspx?FamilyId=9814AE9D-BD44-40C5-ADD3-B8C99618E68D)

Data de lan�amento: 23 de julho de 2003

Para obter informa��es adicionais sobre como baixar os arquivos de Suporte da Microsoft, clique no n�mero abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft:

119591� (http://support.microsoft.com/kb/119591/ ) Como obter os arquivos de suporte da Microsoft nos Servi�os on-line

A Microsoft examinou esse arquivo em busca de v�rus. A Microsoft utilizou o mais recente software de detec��o de v�rus dispon�vel na data em que o arquivo foi publicado. O arquivo est� armazenado em servidores de seguran�a avan�ada que ajudam a evitar qualquer altera��o n�o autorizada no arquivo.

Pr�-requisitos

Esse patch de seguran�a requer o SQL Server 2000 Service Pack 3 (SP3) ou o Service Pack 3a (SP3a). A Microsoft recomenda o SQL Server 2000 Service Pack 3a.

Para obter informa��es adicionais, clique no n�mero abaixo para ler o artigo na Base de Dados do Conhecimento da Microsoft:

290211� (http://support.microsoft.com/kb/290211/ ) Como obter o service pack mais recente para o SQL Server 2000

Observa��o Se n�o tiver instalado o patch de seguran�a do Boletim de Seguran�a da Microsoft MS03-031, baixe e use o arquivo dispon�vel no seguinte artigo da Base de Dados de Conhecimento da Microsoft:

826161� (http://support.microsoft.com/kb/826161/ ) CORRE��O: � solicitada uma confirma��o de senha ap�s a altera��o de login de um Servidor SQL padr�o

Informa��es sobre a instala��o

Este patch de seguran�a suporta as seguintes op��es de Instala��o.

Recolher esta tabelaExpandir esta tabela

Op��o	Descri��o
s	Desativa a caixa de di�logo de progresso Auto-extra��o. Deve vir antes da op��o /a.
/a	Esse par�metro dever� estar antes de todos os par�metros, exceto /s se voc� estiver executando o hotfix ao usar o EXE de extra��o autom�tica e quiser incluir par�metros para instala��es aut�nomas. � um par�metro obrigat�rio para que o instalador execute no modo aut�nomo.
/q	Essa op��o faz com que o programa de instala��o execute no modo silencioso sem a interface de usu�rio.
INSTANCENAME	Nome da inst�ncia do SQL Server. Voc� deve inseri-la como segue: INSTANCENAME=`nomedainst�ncia`
BLANKSAPWD	Significa uma senha sa em branco para Autentica��o do SQL. Se voc� inserir esse par�metro nos computadores que est�o executando o Microsoft Windows NT ou o Microsoft Windows 2000, o logon padr�o de Autentica��o do Windows ser� substitu�do e far� logon com uma senha sa em branco. O formato correto desse par�metro � BLANKSAPWD=1. Esse par�metro � reconhecido somente para as instala��es aut�nomas.
SAPWD	Senha sa que n�o est� em branco. Se voc� inserir esse par�metro, ele dever� estar na forma de SAPWD=`sua_senha_sa`. Esse par�metro substitui a Autentica��o padr�o do Windows nos computadores que executam o Windows NT ou o Windows 2000, ou BLANKSAPWD, se inserido.

Para obter informa��es adicionais, clique no n�mero abaixo para ler o artigo na Base de Dados do Conhecimento da Microsoft:

330391� (http://support.microsoft.com/kb/330391/ ) Instalador do hotfix do SQL Server

Requisito de reinicializa��o

N�o � necess�rio reiniciar o computador ap�s a aplica��o desse patch de seguran�a, a menos que o instalador do hotfix solicite.

Informa��es sobre a remo��o

A remo��o desse patch n�o � suportada a menos que tenha sido feito backup de determinados cat�logos antes da instala��o desse patch de seguran�a. Para obter informa��es adicionais, consulte a se��o "Como remover ou reverter o hotfix" no artigo a seguir da Base de Dados de Conhecimento da Microsoft:

330391� (http://support.microsoft.com/kb/330391/ ) Instalador do hotfix para SQL Server

Informa��es sobre a substitui��o do patch de seguran�a

Esse patch de seguran�a n�o substitui nenhum outro patch de seguran�a do SQL Server 2000 Service Pack 3 (SP3).

Informa��es sobre o arquivo

A vers�o em portugu�s deste patch de seguran�a possui os atributos de arquivo (ou atributos de arquivos mais recentes) listados na seguinte tabela. As datas e hor�rios desses arquivos est�o listados em formato UTC (coordenadas de tempo universal). Ao visualizar as informa��es sobre o arquivo, elas s�o convertidas para a hora local. Para encontrar a diferen�a entre a UTC e a hora local, use a guia Fuso hor�rio na ferramenta Data e hora do Painel de controle.

   Data         Hora   Vers�o             Tamanho         Nome do arquivo ---------------------------------------------------------------------------- 31-mai-2003  18:45  2000.80.818.0      78.400 bytes  Console.exe 25-jun-2003  01:01  2000.80.818.0      33.340 bytes  Dbmslpcn.dll 25-abr-2003  02:12                    786.432 bytes  Distmdl.ldf 25-abr-2003  02:12                  2.359.296 bytes  Distmdl.mdf 30-jan-2003  01:55                        180 bytes  Drop_repl_hotfix.sql 07-abr-2003  19:15  2000.80.801.0   1.557.052 bytes  Dtsui.dll 24-abr-2003  02:51                    747.927 bytes  Instdist.sql 03-mai-2003  01:56                      1.581 bytes  Inst_repl_hotfix.sql 08-fev-2003  06:40  2000.80.765.0      90.692 bytes  Msgprox.dll 01-abr-2003  02:07                      1.873 bytes  Odsole.sql 07-may-2000  07:04                      1.873 bytes  Odsole.sql 02-abr-2003  21:48  2000.80.796.0      57.904 bytes  Osql.exe 02-abr-2003  23:15  2000.80.797.0     279.104 bytes  Pfutil80.dll 04-abr-2003  21:27                  1.083.467 bytes  Replmerg.sql 04-abr-2003  21:53  2000.80.798.0     221.768 bytes  Replprov.dll 08-fev-2003  06:40  2000.80.765.0     307.784 bytes  Replrec.dll 05-mai-2003  00:05                  1.085.874 bytes  Replsys.sql 31-mai-2003  01:01  2000.80.818.0     492.096 bytes  Semobj.dll 31-mai-2003  18:27  2000.80.818.0     172.032 bytes  Semobj.rll 29-mai-2003  00:29                    115.944 bytes  Sp3_serv_uni.sql 01-jun-2003  01:01  2000.80.818.0   4.215.360 bytes  Sqldmo.dll 07-abr-2003  17:44                     25.172 bytes  Sqldumper.exe 19-mar-2003  18:20  2000.80.789.0      28.672 bytes  Sqlevn70.rll 24-abr-2003  05:39  2000.80.811.0     176.696 bytes  Sqlmap70.dll 08-fev-2003  06:40  2000.80.765.0      57.920 bytes  Sqlrepss.dll 01-jun-2003  01:02  2000.80.818.0   7.544.916 bytes  Sqlservr.exe 01-jun-2003  01:02                 12.739.584 bytes  Sqlservr.pdb 08-fev-2003  06:40  2000.80.765.0      45.644 bytes  Sqlvdi.dll 25-jun-2003  01:01  2000.80.818.0      33.340 bytes  Ssmslpcn.dll 01-jun-2003  01:01  2000.80.818.0      82.492 bytes  Ssnetlib.dll 01-jun-2003  01:01  2000.80.818.0      25.148 bytes  Ssnmpn70.dll 01-jun-2003  01:01  2000.80.818.0     158.240 bytes  Svrnetcn.dll 31-mai-2003  18:59  2000.80.818.0      76.416 bytes  Svrnetcn.exe 30-abr-2003  23:52  2000.80.816.0      45.132 bytes  Ums.dll 30-abr-2003  23:52                    132.096 bytes  Ums.pdb 28-fev-2003  01:34  2000.80.778.0      98.872 bytes  Xpweb70.dll

Verifica��o

Para determinar qual vers�o do SQL Server est� em execu��o, use as informa��es que est�o no seguinte artigo da Base de Dados de Conhecimento da Microsoft:

321185� (http://support.microsoft.com/kb/321185/ ) Como identificar a vers�o e edi��o do SQL Server Service Pack

Ap�s aplicar esse patch de seguran�a, execute um dos seguintes:

SELECT serverproperty('productversion')

SELECT @@Version

O seguinte n�mero deve retornar:

8.00.818

Voltar para o in�cio