主页 / dba / 问题 / 216223
Accepted
John G Hohengarten
Asked: 2018-08-30 08:25:15 +0800 CST

SQL Server 2017 CU10 是否包含 CVE-2018-8273 修补程序？

  • 772

微软昨天发布了SQL Server 2017 CU10 KB4342123 (14.0.3037.1)。我尝试查看包含的修补程序列表，但没有看到任何对最近发布的远程代码执行漏洞修补程序KB4293805 CVE-2018-8273 (14.0.3035.2) 的安全更新的引用。

我们如何确定 SQL Server 2017 CU10 是否包含安全修补程序 KB4293805 CVE-2018-8273？

CU10 的更高版本号是否足以确定这一点？

注意：我已经在 CU9 上安装了 CVE-2018-8273 修复程序。

sql-server sql-server-2017

1 个回答

  1. Best Answer

    是的，安全修复在 CU 中。来自 Microsoft 内部可靠来源的直接但私人的评论：

    安全修复总是汇总到任何后续 CU。多年来一直如此。

    来自微软的另一位同事：

    给定基线的所有 CU 服务版本都是迄今为止为该基线（RTM 或 SP）发布的所有先前安全更新、CU 和按需修补程序的 100% 累积。这是由于我们使用相同的物理 CU 源存储库而机械强制执行的，我们没有任何修复特定的发布存储库，并且一旦修复发布我们就不会删除它们。

    除了极少数历史例外，累积更新始终包括来自同一分支、安全性或其他方面的较低版本中的修复。在 SQL Server 2017 之前，这可能会有所不同，因为服务包的版本控制方式（例如，服务包 2 RTM 的内部版本号高于 sp1 cu28，尽管后者比 sp1 cu28 更新 6 个月）。但这只是一个装饰性的东西 - 它仍然适用于 branch@@VERSION ，但如果您忽略服务包级别并且只比较数字，它并不总是适用。

    Microsoft 是否在任何地方明确记录了安全修复程序包含在 CU10 中？我希望能够向管理层证明修复已存在。

    我已经多次要求更透明地了解特定 CU 中包含（或不包含）哪些修复程序，尤其是在发生此类情况时——在 CU 之间发布了具有自身问题集的安全修补程序。他们已经接受了反馈，我希望至少在发布服务团队的博客文章中看到一些官方文档，以宣布每个新版本。

    我只能说那不是一台快速移动的机器，自动化流程和律师有时会妨碍在自动生成的内容（如 CU KB 文章）中可以披露的内容。现在你将不得不相信我（和他们）的话。

    • 5

相关问题