KB4512011 – FIX: Beheben von vorschnellen Warnungen (62100) in Sql\Sqlrepl\xpreplclr.net\ReplCmdDataReader.cs zur Verhinderung von Angriffen durch Einschleusung von SQL-Befehlen

Gilt für
SQL Server 2014 Service Pack 2 - duplicate (do not use) SQL Server 2014 Developer - duplicate (do not use) SQL Server 2014 Enterprise - duplicate (do not use) SQL Server 2014 Enterprise Core - duplicate (do not use) SQL Server 2014 Standard - duplicate (do not use)

Symptome

Während der Microsoft Auto Code Review (OACR)-Überprüfung auf die SQL-Replikationskomponente, um zu überprüfen, ob Code vorhanden ist, der für Angriffe mit EINschleusung von SQL-Einschleusungen anfällig ist, erhalten Sie eine Fehlermeldung, die der folgenden ähnelt:

F:\ds_maindev1\Sql\Sqlrepl\xpreplclr.net\ReplCmdDataReader.cs (1004): OACR-Warnung 62100: Die an "SqlCommand.CommandText.set(string)" in "ReplCmdsReader.sp_printstatement(string)" übergebene Abfragezeichenfolge könnte die folgenden Variablen "strCmd" enthalten. Wenn eine dieser Variablen aus einer Benutzereingabe stammen könnte, sollten Sie eine gespeicherte Prozedur oder eine parametrisierte SQL-Abfrage verwenden, anstatt die Abfrage mit Zeichenfolgenverkettungen zu erstellen. (Führen Sie "oacr fxcop SQL:amd64chk /target asm_tranrepl.dll" für Details aus.

FUNCTION: Microsoft.SqlServer.Replication.ReplCmdsReader (-1)

Lösung

Dieses Problem wurde in den folgenden kumulativen Updates für SQL Server behoben:

Informationen zu kumulativen Updates für SQL Server:

Jedes neue kumulative Update für SQL Server enthält alle Hotfixes und alle Sicherheitsfixes, die im vorherigen kumulativen Update enthalten waren. Sehen Sie sich die neuesten kumulativen Updates für SQL Server an:

Referenzmaterial

Informieren Sie sich über die Terminologie, die Microsoft zum Beschreiben von Softwareupdates verwendet.