Microsoft SQL Server: Offenlegung von Informationen durch Out-of-Bounds Read

Zusammenfassung

Microsoft SQL Server enthält einen Out-of-Bounds Read, über den Informationen offengelegt werden können. Ein Angreifer mit gültiger Datenbankanmeldung kann die Schwachstelle über das Netzwerk auslösen. Die Auswirkung beschränkt sich auf die Offenlegung von Informationen, ohne Auswirkungen auf Integrität oder Verfügbarkeit.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1155.3
• Die genauen Builds und Update-Pakete vor der Einführung im Microsoft Security Update Guide prüfen.

Umgehung

Unbekannt.

• Für diese CVE wurde kein Workaround des Herstellers identifiziert.
• Bis zur Installation des Updates die Anzahl der Konten mit Datenbankanmeldeberechtigung einschränken.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Offenlegung.
• Der temporale Vektor im CVE-Eintrag weist die Ausnutzungsreife als nicht nachgewiesen aus.
• Es wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Alle SQL-Server-Instanzen mit Branch und Build (2017, 2019, 2022, 2025) erfassen.
• Das Sicherheitsupdate vom November 2026 für jeden betroffenen Branch installieren, mit Priorität für aus dem Internet erreichbare Instanzen oder Instanzen mit gemeinsam genutzten Zugangsdaten.
• Port 1433 nicht direkt aus dem Internet erreichbar machen.
• Datenbankkonten prüfen und nicht benötigte Anmeldungen entfernen.
• Prüfen, ob die offengelegten Daten Personendaten enthalten, die für Pflichten nach dem Schweizer revDSG relevant sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-116932 www.cve.org
• Microsoft Security Update Guide CVE-2026-116932 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB 5132746 senserva.com
• Microsoft KB5129299 SQL Server 2025 CU10 (November 2026) support.microsoft.com
• Offseq threat index entry radar.offseq.com
• Strix CVE-2026-116932 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:16.