Sicherheitsupdate für SQL Server 2016 SP2 (KB4532097)

Korrektur für das erste Sicherheitsrisiko:
In Microsoft SQL Server Reporting Services liegt ein Sicherheitsrisiko bei der Remotecodeausführung vor, wenn Seitenanforderungen nicht ordnungsgemäß verarbeitet werden. Ein Angreifer, der dieses Sicherheitsrisiko erfolgreich ausnutzt, könnte im Kontext des Berichtsserver-Dienstkontos Code ausführen.
Um dieses Sicherheitsrisiko ausnutzen zu können, müsste ein authentifizierter Angreifer eine speziell gestaltete Seitenanforderung an eine betroffene Reporting Services-Instanz senden.
Das Sicherheitsupdate beseitigt dieses Sicherheitsrisiko, indem die Art der Verarbeitung von Seitenanforderungen durch Microsoft SQL Server Reporting Services geändert wird.

Korrektur für das zweite Sicherheitsrisiko:
Eine websiteübergreifende Skripterstellung (XSS) liegt vor, wenn Microsoft SQL Server Reporting Services (SSRS) eine speziell gestaltete Webanforderung an einen betroffenen SSRS-Server nicht ordnungsgemäß bereinigen. Ein Angreifer, der das Sicherheitsrisiko erfolgreich ausgenutzt hat, könnte Skripts im Kontext des Zielbenutzers ausführen. Dadurch könnte der Angreifer Inhalte lesen, für die er keinen Lesezugriff besitzt, schädlichen Code ausführen und die Identität des Opfers verwenden, um im Namen des Benutzers Aktionen auf der Website auszuführen, z. B. Berechtigungen zu ändern und Inhalte zu löschen.
Um dieses Sicherheitsrisiko ausnutzen zu können, müsste ein Angreifer einen authentifizierten Benutzer dazu veranlassen, auf einen speziell gestalteten Link zu einem betroffenen SSRS-Server zu klicken. Das Sicherheitsupdate löst dieses Sicherheitsrisiko durch die Korrektur der SSRS-URL-Bereinigung.

Eine umfassende Liste der Probleme, die in diesem Update behoben wurden, finden Sie im zugehörigen Microsoft Knowledge Base-Artikel: KB4532097

Die folgenden SQL Server-Sicherheitsupdates enthalten beide SQL Server Reporting Services-Korrekturen und stehen zum Herunterladen zur Verfügung:
Sicherheitsupdate für SQL Server 2016 SP2 CU11 (KB4535706)
Sicherheitsupdate für SQL Server 2016 SP2 GDR (KB4532097)

Unterstützte Betriebssysteme

Windows Server 2016, Windows Server 2019, Windows Server 2012, Windows Server 2012 R2, Windows 8, Windows 8.1, Windows 10

Dieses Update gilt für SQL Server 2016 SP2-Instanzen.

Laden Sie die dem Prozessor Ihres Computers entsprechende Datei herunter, indem Sie auf einen der unten stehenden Links klicken. Sie können das Paket direkt über den Link ausführen oder es auf dem lokalen Datenträger speichern, um es später zu installieren.