KB4512011 — POPRAWKA: Naprawianie ostrzeżeń wstępnych (62100) w SQL \ Sqlrepl\xpreplclr.net\ReplCmdDataReader.cs w celu zapobiegania atakom polegającym na wstrzyknięciu kodu SQL

Dotyczy
SQL Server 2014 Service Pack 2 - duplicate (do not use) SQL Server 2014 Developer - duplicate (do not use) SQL Server 2014 Enterprise - duplicate (do not use) SQL Server 2014 Enterprise Core - duplicate (do not use) SQL Server 2014 Standard - duplicate (do not use)

Objawy

Podczas sprawdzania przez Microsoft Auto Code Review (OACR) składnika replikacji SQL w celu sprawdzenia, czy istnieje kod, który jest podatny na ataki polegające na wstrzyknięciu kodu SQL, otrzymasz komunikat o błędzie podobny do następującego:

F:\ds_maindev1\Sql\Sqlrepl\xpreplclr.net\ReplCmdDataReader.cs (1004): Ostrzeżenie OACR 62100: Ciąg zapytania przekazany do "SqlCommand.CommandText.set(string)" w "ReplCmdsReader.sp_printstatement(string)" może zawierać następujące zmienne "strCmd". Jeśli którakolwiek z tych zmiennych może pochodzić z danych wejściowych użytkownika, rozważ użycie procedury składowanej lub sparametryzowanego zapytania SQL zamiast tworzenia zapytania za pomocą łączenia ciągów. (Aby uzyskać szczegółowe informacje, uruchom polecenie 'oacr fxcop SQL:amd64chk /target asm_tranrepl.dll')

FUNKCJA: Microsoft.SqlServer.Replication.ReplCmdsReader (-1)

Rozwiązanie

Ten problem został rozwiązany w następujących aktualizacjach zbiorczych programu SQL Server:

Informacje o aktualizacjach zbiorczych programu SQL Server:

Każda nowa aktualizacja zbiorcza programu SQL Server zawiera wszystkie poprawki zabezpieczeń uwzględnione w poprzedniej aktualizacji skumulowanej. Sprawdź najnowsze aktualizacje zbiorcze dla programu SQL Server:

Źródła informacji

Dowiedz się więcej o terminologii używanej przez firmę Microsoft do opisywania aktualizacji oprogramowania.