TACERT台灣學術網路危機處理中心

※安全通報資訊

安全通報類型	微軟安全通報
發佈日期	2014-08-12
標題	Microsoft 資訊安全公告 MS14-044 - 重要-SQL Server 中的資訊安全風險可能會允許提高權限
CVE	CVE-2014-1820;CVE-2014-4061
BID
影響平台	對於所有受支援版本的 Microsoft SQL Server 2008 Service Pack 3、Microsoft SQL Server 2008 R2 Service Pack 2，以及 Microsoft SQL Server 2012 Service Pack 1，此資訊安全更新的等級為「重要」；對於適用於 x64 型系統的 Microsoft SQL Server 2014，此資訊安全更新的等級也是「重要」。
說明	這個安全性更新可解決 Microsoft SQL Server 中兩項未公開報告的資訊安全風險 (一個是在 SQL Server Master Data Services 中，另一個則在 SQL Server 關聯式資料庫管理系統中)。這些資訊安全風險較嚴重者除了影響 SQL Server Master Data Services 之外，同時如果使用者瀏覽了蓄意製作的網站，而該網站在使用者的 Internet Explorer 執行個體中放入用戶端指令碼，這時就可能允許提高權限。無論如何，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是引誘使用者自行前往。一般的做法是設法讓使用者點選電子郵件訊息或 Instant Messenger 中通往攻擊者網站的連結，或設法讓他們開啟經由電子郵件傳送的附件。此資訊安全更新可修正 SQL Master Data Services (MDS) 編碼輸出的方式，以及 SQL Server 處理 T-SQL 查詢的方式，進而解決這些資訊安全風險。
解決方式	大部分客戶都已啟用自動更新，並且不必須採取任何行動，因為資訊安全更新將自動下載和安裝。
相關資訊連結	https://technet.microsoft.com/library/security/MS14-044
相關修正資訊連結	https://technet.microsoft.com/library/security/MS14-044