Microsoft SQL Server Remote Code Execution Vulnerability

CVE-2019-1068
Faille de sécurité

Date de publication : 9 juil. 2019

Dernière mise à jour : 3 déc. 2019

Assigning CNA
Microsoft
CVE.org link
MitreCVE-2019-1068

Synthèse

A remote code execution vulnerability exists in Microsoft SQL Server when it incorrectly handles processing of internal functions. An attacker who successfully exploited this vulnerability could execute code in the context of the SQL Server Database Engine service account.

To exploit the vulnerability, an authenticated attacker would need to submit a specially crafted query to an affected SQL server.

The security update addresses the vulnerability by modifying how the Microsoft SQL Server Database Engine handles the processing of functions.

Exploitabilité

Le tableau ci-dessous fournit une évaluation d’exploitabilité pour cette vulnérabilité lors de la publication initiale.

Publicly disclosed
Oui
Exploited
Non
Exploitability assessment
Exploitation moins probable

Forum aux questions

Des mises à jour GDR (General Distribution Release) et/ou CU (Cumulative Update) sont proposées pour ma version de SQL Server. Comment puis-je savoir quelle mise à jour utiliser ?

Remarque Si votre numéro de version de SQL Server ne figure pas dans le tableau ci-dessous, votre version de SQL Server n'est plus prise en charge. Mettez à niveau vers le Service Pack ou produit SQL Server le plus récent pour appliquer cette mise à jour et les mises à jour de sécurité futures.

Numéro de la mise à jour Titre Appliquer si la version actuelle du produit est... Cette mise à jour de sécurité contient également les versions de maintenance jusqu'à...
4505217 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2014 SP2 (GDR) datée du 11 juin 2019 12.0.5000.0 - 12.0.5214.6 KB4057120
4505419 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2014 SP2 (CU) datée du 11 juin 2019 12.0.5511.0 - 12.0.5632.1 KB4491540 - SQL14 SP2 CU17
4505218 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2014 SP3 (GDR) datée du 11 juin 2019 12.0.6024.0 SP3
4505422 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2014 SP3 (CU) datée du 11 juin 2019 12.0.6205.1 - 12.0.6259.0 KB4491539 - SQL14 SP3 CU3
4505219 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2016 SP1 (GDR) datée du 11 juin 2019 13.0.4001.0 - 13.0.4224.16 KB4458842
4505221 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2016 SP1 (CU) datée du 11 juin 2019 13.0.4411.0 - 13.0.4574.0 KB4495257 - SQL16 SP1 CU15
4505220 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2016 SP2 (GDR) datée du 11 juin 2019 13.0.5026.0 - 13.0.5081.1 KB4293802
4505222 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2016 SP2 (CU) datée du 11 juin 2019 13.0.5149.0 - 13.0.5337.0 KB4495256 - SQL SP2 CU7
4505224 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2017 (GDR) datée du 11 juin 2019 14.0.1000.169 - 14.0.2014.14 KB4494351
4505225 Description de la mise à jour de sécurité pour la vulnérabilité d’exécution de code à distance dans SQL Server 2017 (CU) datée du 11 juin 2019 14.0.3006.16 - 14.0.3162.1 KB4498951 - SQL17 RTM CU15

Que sont les désignations de mise à jour GDR et CU, et en quoi diffèrent-elles ?

Les désignations GDR (General Distribution Release, correctif logiciel grand public) et CU (Cumulative Update, mise à jour cumulative) correspondent aux deux options de maintenance mises en place pour les mises en production de base de référence SQL Server. Une base de référence peut être une version RTM ou Service Pack.

  • Mises à jour GDR : elles cumulent uniquement les mises à jour de sécurité pour la base de référence correspondante.
  • Mises à jour CU : elles cumulent toutes les mises à jour et tous les correctifs fonctionnels pour la base de référence correspondante.

Pour une base de référence donnée, les mises à jour GDR ou CU peuvent être des options (voir ci-après).

  • Si l’installation SQL Server est une version de base de référence, vous pouvez choisir la mise à jour GDR ou CU.
  • Si l’installation SQL Server n’a volontairement installé que des mises à jour GDR antérieures, choisissez d’installer la mise à jour GDR.
  • Si l’installation SQL Server a volontairement installé des mises à jour CU antérieures, choisissez d’installer la mise à jour de sécurité CU.
  • REMARQUE : Vous êtes autorisé à passer UNE SEULE FOIS des mises à jour GDR aux mises à jour CU. Dès qu’une mise à jour CU pour SQL Server est appliquée à une installation SQL Server, il n’est plus possible de revenir au chemin de mise à jour GDR.

Cette mise à jour de sécurité s’applique-t-elle à SQL Server 2017 sur Linux ou sur les conteneurs Docker de Linux ?

Oui. Pour plus d’informations sur l’obtention et sur l’installation des mises à jour CU ou GDR sur les systèmes d’exploitation ou les conteneurs Docker Linux, consultez les documents suivants :

  1. Configurer des référentiels pour l’installation et la mise à niveau de SQL Server sur Linux
  2. Notes de publication pour SQL Server 2017 sur Linux
  3. Images officielles pour Microsoft SQL Server sur Linux pour le moteur Docker

Ces mises à jour de sécurité seront-elles proposées aux clusters SQL Server ?

Oui. Ces mises à jour seront également proposées aux instances de SQL Server 2016 SP1/SP2 et SQL Server 2017 RTM en clusters. Les mises à jour pour les clusters SQL Server nécessiteront une action de l’utilisateur. Si le cluster SQL Server 2016 SP1/SP2 ou SQL Server 2017 RTM possède un nœud passif, afin de réduire les temps morts, Microsoft recommande que vous analysiez et appliquiez d’abord la mise à jour sur le nœud passif, puis l’analysiez et l’appliquiez sur le nœud actif. Quand tous les composants auront été mis à jour sur tous les nœuds, la mise à jour ne sera plus proposée.

Les mises à jour de sécurité peuvent-elles être appliquées aux instances de SQL Server sur Microsoft Azure (IaaS) ?

Oui. Les instances de SQL Server sur Microsoft Azure (IaaS) peuvent obtenir les mises à jour de sécurité via Microsoft Update ou les clients peuvent télécharger les mises à jour de sécurité depuis le Centre de téléchargement Microsoft et les appliquer manuellement.

Remerciements

Microsoft reconnaît les efforts des professionnels de la sécurité qui contribuent à protéger les clients par une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez la page Remerciements.

Mises à jour de sécurité

Consultez le site web Politique de support Microsoft pour connaître la politique de support correspondant à votre logiciel.

Date de publication Descending
All results loaded
Toutes les 14 lignes chargées

Clause d’exclusion de responsabilité

Les informations contenues dans la Base de connaissances Microsoft sont fournies « en l’état », sans garantie d’aucune sorte. Microsoft exclut toute garantie expresse ou implicite, notamment toute garantie de qualité et d'adéquation à un usage particulier. Microsoft Corporation ou ses fournisseurs ne pourront en aucun cas être tenus pour responsables de tout dommage de quelque nature que ce soit, y compris les dommages directs, indirects, accessoires, consécutifs, pertes de bénéfice ou dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été prévenus de l’éventualité de tels dommages. Certains pays n’autorisent pas l’exclusion ou la limitation des responsabilités pour les dommages indirects ou accessoires, de sorte que la limitation ci-dessus peut ne pas être applicable.

Révisions

Quel est votre degré de satisfaction en ce qui concerne le guide des mises à jour de sécurité MSRC ?