Microsoft SQL Server Remote Code Execution Vulnerability

CVE-2019-1068
보안 취약성

릴리스 날짜: 2019년 7월 9일

마지막 업데이트: 2019년 12월 3일

Assigning CNA
Microsoft
CVE.org link
MitreCVE-2019-1068

실행 요약

A remote code execution vulnerability exists in Microsoft SQL Server when it incorrectly handles processing of internal functions. An attacker who successfully exploited this vulnerability could execute code in the context of the SQL Server Database Engine service account.

To exploit the vulnerability, an authenticated attacker would need to submit a specially crafted query to an affected SQL server.

The security update addresses the vulnerability by modifying how the Microsoft SQL Server Database Engine handles the processing of functions.

악용 가능성

다음 표는 원본 게시 당시의 이 취약성에 대한 악용 가능성 평가를 제공합니다.

Publicly disclosed
예
Exploited
아니요
Exploitability assessment
악용 가능성 낮음

FAQ

내 SQL Server 버전에 대한 GDR 및/또는 CU(누적 업데이트) 업데이트를 제공받았습니다. 어느 업데이트를 사용해야 합니까?

참고 SQL Server 버전 번호가 아래 표에 나오지 않는 경우, 해당 SQL Server 버전은 더 이상 지원되지 않습니다. 이 보안 업데이트 및 향후 보안 업데이트를 적용하려면 최신 서비스 팩 또는 SQL Server 제품으로 업그레이드하십시오.

업데이트 번호 제목 업데이트가 적용되는 현재 제품 버전 이 보안 업데이트에 함께 포함되는 서비스 릴리스
4505217 SQL Server 2014 SP2의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(GDR): 2019년 6월 11일 12.0.5000.0 - 12.0.5214.6 KB4057120
4505419 SQL Server 2014 SP2의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(CU): 2019년 6월 11일 12.0.5511.0 - 12.0.5632.1 KB4491540 - SQL14 SP2 CU17
4505218 SQL Server 2014 SP3의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(GDR): 2019년 6월 11일 12.0.6024.0 SP3
4505422 SQL Server 2014 SP3의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(CU): 2019년 6월 11일 12.0.6205.1 - 12.0.6259.0 KB4491539 - SQL14 SP3 CU3
4505219 SQL Server 2016 SP1의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(GDR): 2019년 6월 11일 13.0.4001.0 - 13.0.4224.16 KB4458842
4505221 SQL Server 2016 SP1의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(CU): 2019년 6월 11일 13.0.4411.0 - 13.0.4574.0 KB4495257 – SQL16 SP1 CU15
4505220 SQL Server 2016 SP2의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(GDR): 2019년 6월 11일 13.0.5026.0 - 13.0.5081.1 KB4293802
4505222 SQL Server 2016 SP2의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(CU): 2019년 6월 11일 13.0.5149.0 - 13.0.5337.0 KB4495256 – SQL SP2 CU7
4505224 SQL Server 2017의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(GDR): 2019년 6월 11일 14.0.1000.169 - 14.0.2014.14 KB4494351
4505225 SQL Server 2017의 원격 코드 실행 취약성용 보안 업데이트에 대한 설명(CU): 2019년 6월 11일 14.0.3006.16 - 14.0.3162.1 KB4498951 – SQL17 RTM CU15

GDR 및 CU 업데이트 지정이란 무엇이며 차이점은 무엇입니까?

GDR(일반 배포 릴리스) 및 CU(누적 업데이트) 지정은 SQL Server 기준 릴리스용으로 있는 두 가지 다른 서비스 옵션에 해당합니다. 기준은 최초 RTM 릴리스 또는 서비스 팩 릴리스일 수 있습니다.

  • GDR 업데이트 - 지정된 기준에 대한 보안 업데이트만 누적해서 포함합니다.
  • CU 업데이트 - 지정된 기준에 대한 모든 기능 픽스 및 보안 업데이트를 누적해서 포함합니다.

지정된 기준에 대해 GDR 업데이트 또는 CU 업데이트가 옵션으로 제공될 수 있습니다(아래 참조).

  • 설치된 SQL Server가 기준 버전인 경우 GDR 또는 CU 업데이트 중 어느 쪽이든 선택할 수 있습니다.
  • SQL Server 설치 환경에 의도적으로 이전 GDR 업데이트만 설치되어 있으면 GDR 업데이트 패키지를 설치하도록 선택합니다.
  • SQL Server 설치 환경에 의도적으로 이전 CU 업데이트가 설치되어 있으면 CU 보안 업데이트 패키지를 설치하도록 선택합니다.
  • 참고: GDR 업데이트에서 CU 업데이트로 한 번만 변경할 수 있습니다. 일단 SQL Server 설치 환경에 SQL Server CU 업데이트를 적용한 후에는 GDR 업데이트 경로로 되돌아갈 수 없습니다.

이 보안 업데이트는 Linux 또는 Linux Docker 컨테이너의 SQL Server 2017에 적용되나요?

예. Linux 운영 체제 또는 Docker 컨테이너에서 CU 또는 GDR 업데이트를 받아 설치하는 방법에 대한 자세한 내용은 다음을 참조하세요.

  1. Linux의 SQL Server를 설치 및 업그레이드하도록 리포지토리 구성
  2. Linux의 SQL Server 2017용 릴리스 정보
  3. Docker 엔진용 Linux의 Microsoft SQL Server 공식 이미지

이 보안 업데이트가 SQL Server 클러스터에 제공됩니까?

예. 이 업데이트는 클러스터된 SQL Server 2016 SP1/SP2 및 SQL Server 2017 RTM 인스턴스에도 제공됩니다. SQL Server 클러스터용 업데이트는 사용자 조작이 필요합니다. SQL Server 2016 SP1/SP2 또는 SQL Server 2017 RTM 클러스터에 패시브 노드가 있는 경우, 작동 중단 시간을 줄이기 위해 비활성화 노드를 먼저 검사하고 업데이트를 적용한 후 액티브 노드를 검사하고 업데이트를 적용하는 것이 좋습니다. 모든 구성 요소가 모든 노드에 업데이트되면 업데이트가 더 이상 제공되지 않습니다.

이 보안 업데이트는 Windows Azure(IaaS)의 SQL Server 인스턴스에 적용될 수 있습니까?

예. Microsoft Update를 통해 Windows Azure(IaaS)의 SQL Server 인스턴스에 보안 업데이트가 제공될 수 있습니다. 또는 수동으로 Microsoft 다운로드 센터에서 보안 업데이트를 다운로드하고 적용할 수 있습니다.

승인

Microsoft는 조정된 취약점 공개를 통해 고객을 보호하는 데 도움을 주는 보안 커뮤니티의 공로를 기립니다. 자세한 내용은 도움을 주신 분들을 참조하세요.

보안 업데이트

사용 중인 소프트웨어에 대한 지원 수명 주기를 확인하려면 Microsoft 지원 수명 주기를 참조하세요.

출시 날짜 Descending
All results loaded
모든 14 행을 로드함

고지 사항

Microsoft 기술 자료에서 제공되는 정보는 어떠한 보증도 없이 "있는 그대로" 제공됩니다. Microsoft는 상품성과 특정 목적에 대한 적합성의 보증을 포함하여 명시적이거나 묵시적인 모든 보증을 부인합니다. Microsoft Corporation 또는 그 공급자는 모든 직접적, 간접적, 부수적, 파생적 손해 또는 영업 이익 손실 또는 특수한 손실에 대하여 어떠한 경우에도 책임을 지지 않으며, 이는 Microsoft Corporation 또는 그 공급자가 그와 같은 손해의 가능성을 사전에 알고 있던 경우에도 마찬가지입니다. 일부 지역에서는 파생적 또는 부수적 손해에 대한 책임의 배제 또는 제한을 허용하지 않으므로 위 제한은 귀하에게 적용되지 않을 수도 있습니다.

수정 내역

MSRC 보안 업데이트 가이드에 얼마나 만족하십니까?