Microsoft закрыла 22 уязвимости в SQL Server и облачном сервисе Azure API Center. Использование этих ошибок даёт злоумышленнику возможность выполнить произвольный код с правами сервера баз данных, повысить привилегии, добраться до чувствительных сведений или устроить отказ в обслуживании. Проблема касается ветвей SQL Server 2017, 2019, 2022 и 2025, а также Azure API Center.
Разбор исправлений в Microsoft SQL Server и Azure API Center
В списке 22 идентификатора CVE (CVE - стандартный номер уязвимости в общей базе), включая CVE-2026-88081 и CVE-2026-94512. Оценок по шкале CVSS (система оценки серьёзности уязвимостей) вендор не приводит, поэтому о риске приходится судить по классам ошибок и по роли самого продукта. В сообщении нет и упоминаний об эксплуатации в реальных атаках.
SQL Server держит данные о клиентах, платежах, сотрудниках, а нередко и учётные записи сервисов. Ошибка в ядре СУБД (системы управления базами данных) затрагивает сразу все приложения, которые работают с этой базой. Чем шире права учётной записи, под которой запущен сервис, тем тяжелее последствия: выполнение кода выходит за пределы базы данных.
Переполнения буфера и десериализация данных
Большую часть перечня составляют ошибки работы с памятью. Переполнение буфера в стеке и в куче, чтение за границами выделенного блока, использование памяти после её освобождения, целочисленное переполнение. Все они проявляются при обработке данных, которые поступают на вход серверу. Часть таких уязвимостей валит процесс, часть - повреждает память, и тогда злоумышленник подменяет служебные структуры и получает управление над кодом. Отдельно в списке стоят десериализация недоверенных данных и строка формата, которой управляет извне.
Восьмой класс - выделение ресурсов без ограничений и без регулирования нагрузки. Изощрённых приёмов он не требует: поток однотипных запросов исчерпывает память или рабочие потоки, и сервер перестаёт отвечать. Пострадают все, кто в этот момент работает с базой. Отказ в обслуживании в разгар рабочего дня останавливает оформление заказов, отчётность и обмен данными между системами.
Практический вес этим уязвимостям придаёт распространённость продукта. SQL Server стоит в контуре банков, промышленных предприятий, госучреждений и небольших компаний. Прямого выхода в интернет у таких систем обычно нет, но похищенная учётная запись или слабая сегментация сети упрощают доступ к базе. Сервер часто подключён к службе каталога и внутренним сервисам, поэтому успешная эксплуатация уязвимости не ограничивается одной базой.
Azure API Center в перечне продуктов
Кроме SQL Server, список затронутых продуктов включает Azure API Center - облачный сервис для каталогизации программных интерфейсов. Технических подробностей по нему бюллетень не даёт, как и разбивки по отдельным сборкам. Ответственным за такие подписки стоит свериться с разделом затронутых версий на сайте вендора.
Обновления и обходные меры
Исправления доступны для всех поддерживаемых ветвей, включая SQL Server 2017, 2019, 2022 и 2025. Установить их можно через обычные каналы обслуживания. Для тех, кто не может обновиться сразу, вендор публикует обходные меры. Ссылки на обновления и описание мер собраны по адресу: https://portal.msrc.microsoft.com/en-us/security-guidance. Пока исправление не применено, сетевой доступ к порту базы данных разумно ограничить списком доверенных узлов, а число учётных записей с широкими правами - сократить до необходимого минимума.
Двадцать две уязвимости в одном продукте, да ещё и с выполнением кода среди последствий, напоминают о простой вещи. СУБД годами живёт внутри периметра и потому редко попадает в приоритеты обслуживания. Между тем база данных - это то, ради чего злоумышленник приходит в сеть. Обновление остаётся самым дешёвым способом снизить такой риск.
Ссылки
