KB5084820 — Mise à jour de sécurité pour SQL Server 2016 SP3 Azure Connect Feature Pack

Aperçu

KB5084820 est une mise à jour de sécurité critique publiée le 14 avril 2026 pour Microsoft SQL Server 2016 Service Pack 3 Azure Connect Feature Pack. Cette mise à jour corrige quatre vulnérabilités de sécurité importantes qui pourraient permettre aux attaquants d'exécuter du code à distance, d'escalader des privilèges, de divulguer des informations sensibles ou de provoquer un déni de service dans les environnements SQL Server avec la connectivité Azure activée.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout les Common Vulnerabilities and Exposures (CVE) suivants :

Systèmes affectés

Cette mise à jour de sécurité s'applique spécifiquement à :

• Microsoft SQL Server 2016 pour systèmes x64 Service Pack 3 avec Azure Connect Feature Pack installé
• Systèmes d'exploitation pris en charge : Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022
• Architecture : x64 uniquement (les systèmes 32 bits ne sont pas pris en charge)
• Éditions : Enterprise, Standard, Web, Express (avec Azure Connect Feature Pack)

Détails techniques

Exécution de code à distance (CVE-2026-0847)

La vulnérabilité la plus critique permet aux attaquants authentifiés d'exécuter du code arbitraire sur le système SQL Server via des requêtes d'authentification Azure Connect spécialement conçues. La vulnérabilité existe dans le module de traitement des jetons d'authentification où une validation d'entrée insuffisante pourrait conduire à des conditions de débordement de tampon.

Escalade de privilèges (CVE-2026-0848)

Cette vulnérabilité permet aux utilisateurs de base de données à faibles privilèges d'escalader leurs privilèges au niveau sysadmin en exploitant des faiblesses dans la validation de l'autorisation Azure Connect. Le problème survient lorsque les utilisateurs authentifiés Azure peuvent contourner les politiques de sécurité locales de SQL Server lors des opérations hybrides.

Divulgation d'informations (CVE-2026-0849)

Des informations sensibles de connexion Azure, y compris des chaînes de connexion et des jetons d'authentification, pourraient être exposées via des messages d'erreur détaillés et des journaux de débogage. Cette vulnérabilité pourrait permettre aux attaquants d'obtenir des identifiants pour d'autres attaques sur les ressources Azure.

Déni de service (CVE-2026-0850)

Des paquets réseau malformés envoyés au service Azure Connect pourraient provoquer le crash ou l'inaccessibilité du service SQL Server. Cette vulnérabilité pourrait être exploitée pour perturber les opérations et la disponibilité de la base de données.

Exigences d'installation

Exigences système

• SQL Server 2016 Service Pack 3 (Build 13.0.6300.2 ou ultérieur)
• Version 1.0 ou ultérieure d'Azure Connect Feature Pack
• Privilèges administratifs sur le système cible
• Espace disque libre minimum de 100 Mo
• Connexion Internet active pour la validation de la connectivité Azure

Liste de vérification avant installation

1. Vérifier l'installation de SQL Server 2016 SP3 :

   SELECT @@VERSION

2. Confirmer qu'Azure Connect Feature Pack est installé :

   SELECT * FROM sys.dm_server_services WHERE servicename LIKE '%Azure Connect%'

3. Vérifier l'espace disque disponible :

   Get-WmiObject -Class Win32_LogicalDisk | Select-Object DeviceID, FreeSpace

4. Planifier une fenêtre de maintenance pour le redémarrage du service
5. Sauvegarder le système et les bases de données avant l'installation

Vérification après installation

Après avoir installé KB5084820, vérifiez que la mise à jour a été appliquée avec succès :

Vérifier l'installation de la mise à jour

Get-HotFix -Id KB5084820

Vérifier la version de SQL Server

SELECT SERVERPROPERTY('ProductVersion') AS Version, SERVERPROPERTY('ProductUpdateLevel') AS UpdateLevel

Tester la fonctionnalité Azure Connect

1. Redémarrer les services SQL Server
2. Vérifier que le service Azure Connect démarre avec succès
3. Tester l'authentification et la connectivité Azure
4. Surveiller les journaux d'erreurs SQL Server pour tout problème
5. Valider les opérations de requête hybride si applicable

Recommandations de sécurité

En plus d'appliquer cette mise à jour de sécurité, Microsoft recommande les meilleures pratiques de sécurité suivantes :

• Segmentation du réseau : Isoler les systèmes SQL Server avec Azure Connect des réseaux non fiables
• Contrôle d'accès : Mettre en œuvre des principes d'accès au moindre privilège pour les utilisateurs Azure Connect
• Surveillance : Activer la journalisation d'audit SQL Server et surveiller les activités suspectes d'Azure Connect
• Mises à jour régulières : Établir un calendrier de correctifs régulier pour les mises à jour de sécurité SQL Server
• Stratégie de sauvegarde : Maintenir des sauvegardes à jour des bases de données et des configurations système