SQL Server 的 CVE-2021-1636 安全更新

Microsoft 剛剛針對安全漏洞發布了此安全更新CVE-2021-1636。目前沒有太多資訊可用。對以下幾點的任何輸入將不勝感激

• 這次更新有多重要。我們是否需要盡快應用此更新？
• 如果 SQL 伺服器無法通過 Internet 訪問，它是否仍然容易受到攻擊？

我們通常會在測試環境上應用更新，如果沒有發現問題，我們會等待一個月再投入生產。但由於我們對此更新的可用資訊有限，是否有人計劃在生產伺服器上安裝此更新，考慮到它可能很關鍵？

射線。

這很關鍵；我的客戶正在他們的開發/測試/質量環境中對其進行測試。他們肯定會在幾天內安裝它。

該漏洞利用是不公開的，並且考慮到安全風險——攻擊者擁有伺服器——我不希望他們很快公開披露它。給人們打更新檔需要很長時間。

如果您查看 Microsoft 從獨立系統 (First.org) 使用的指標，基本得分為 8，而時間得分相對較低，為 3。因此，就問題的嚴重程度而言，它是打更新檔比較重要，而且修復對漏洞修復比較有信心。

同樣重要的是要注意攻擊向量是“網路”級別以及對漏洞利用的描述：

“攻擊者如何利用此漏洞？當配置為執行擴展事件會話時，經過身份驗證的攻擊者可以通過網路將數據發送到受影響的 SQL Server。”

如果您的 SQL Server 與 Intranet 外部完全隔離，那麼它可能不太可能成為一個漏洞，但如果您的網路有任何可能受到威脅，那麼您的 SQL Server 與 Internet 的完全隔離也是如此。

引用自：https://dba.stackexchange.com/questions/283333