Best Practice Software Bp Premier: Fest codiertes SQL-Server-Administratorpasswort

Zusammenfassung

Bp Premier verwendet ein fest codiertes Administratorpasswort für Microsoft SQL Server, das in allen Installationen gleich ist und nicht geändert werden kann, ohne die Anwendung zu beschädigen. Ein Angreifer mit Netzwerkzugriff auf die Datenbankinstanz kann sich als sysadmin anmelden, die Anwendungsauthentifizierung umgehen und Betriebssystembefehle ausführen, typischerweise als SYSTEM. Die Ausnutzbarkeit hängt davon ab, ob der SQL-Server-Listener aus unvertrauenswürdigen Netzwerken erreichbar ist.

Betroffen

• Bp Premier Versionen vor 1.14.1.1128 (CVE-Beschreibung)
• CVE-Eintrag listet 0 bis kleiner 1.14.1.1128 als betroffen

Behoben in

• Oxford SP1 1.14.1.1129 ist im CVE-Eintrag und in den Versionshinweisen des Herstellers als nicht betroffen aufgeführt
• Die CVE-Beschreibung nennt 1.14.1.1128 als erste korrigierte Version; laut den Herstellerhinweisen müssen Benutzer mit 1.14.1.1128 nicht auf 1.14.1.1129 aktualisieren
• Zur Sicherheit auf 1.14.1.1129 (oder die neueste Version) aktualisieren

Umgehung

• Keine Workaround des Herstellers beseitigt die Schwachstelle.
• Netzwerkzugriff auf den SQL-Server-Listener so einschränken, dass nur der Bp-Premier-Server ihn erreichen kann.
• Den SQL-Server-Listener nicht gegenüber unvertrauenswürdigen Netzwerken, Fernzugriffspfaden oder dem Internet exponieren.
• Dem SQL-Server-Dienstkonto, wo unterstützt, nur die minimal nötigen Rechte zuweisen.
• Auf direkte SQL-Server-Anmeldungen und die Aktivierung von Betriebssystembefehlsfunktionen überwachen.

Ausnutzung

• CISA SSVC: Exploitation none, automatable yes, technische Auswirkung total.
• In den geprüften Quellen nicht als aktiv ausgenutzt gelistet.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Prüfen, ob Kunden Bp Premier einsetzen, und die Build-Version kontrollieren.
• Betroffene Installationen ohne Verzögerung auf den korrigierten Oxford-SP1-Build aktualisieren.
• Netzwerkzugriff auf den SQL Server auf den Bp-Premier-Server und genehmigte Arbeitsstationen beschränken.
• Sicherstellen, dass der SQL-Server-Port nicht aus dem Internet erreichbar ist.
• SQL-Server-Protokolle auf ungewöhnliche sysadmin-Anmeldungen und Befehlsausführung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CI-ISAC CVE record (GCVE-123-2026-0001) def.ci-isac.org.au
• Bp Premier Oxford SP1 release notes kb.bestpracticesoftware.com
• VulnCheck advisory www.vulncheck.com
• OpenCVE CVE-2026-114119 app.opencve.io
• Strix CVE-2026-114119 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:02.