Microsoft SQL Server: Offenlegung von Informationen durch Buffer Over-Read
Zusammenfassung
Ein Buffer Over-Read in Microsoft SQL Server erlaubt einem berechtigten Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff, Informationen offenzulegen. Der CVE-Eintrag bewertet die Schwachstelle mit CVSS 6.5 (Mittel), mit Auswirkung nur auf die Vertraulichkeit. Eine Ausnutzung in freier Wildbahn oder ein öffentlicher Proof of Concept ist nicht bekannt.
Betroffen
- SQL Server 2017 CU31 (x64): 14.0.3006.16 bis vor 14.0.3570.2
- SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2210.4
- SQL Server 2019 CU32 (x64): 15.0.4003.23 bis vor 15.0.4510.2
- SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1220.3
- SQL Server 2022 CU27 (x64): 16.0.4003.1 bis vor 16.0.4315.2
- SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
- SQL Server 2025 GDR (x64): 17.0.1050.2 bis vor 17.0.1155.3
Behoben in
- SQL Server 2017 CU31: 14.0.3570.2 (KB5132746)
- SQL Server 2025 CU10: 17.0.5045.3 (KB5129299)
- Andere Branches: Unbekannt; die gepatchte Version ist im MSRC Update Guide zu prüfen.
Umgehung
- Unbekannt. Es ist kein CVE-spezifischer Workaround dokumentiert; das kumulative Update oder GDR-Update des jeweiligen Branches installieren.
- Datenbankzugriff auf vertrauenswürdige Netze beschränken und Konten mit Anmelderechten einschränken.
Ausnutzung
- Nach den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden. Rapid7 stuft die Ausnutzung als 'Exploitation Less Likely' ein.
Unsere Empfehlung
- Alle SQL-Server-Instanzen und deren Build-Nummern erfassen.
- Das kumulative oder GDR-Update für jeden Branch aus dem Release vom 10. November 2026 installieren, zuerst auf internetexponierten oder Mehrbenutzer-Servern.
- Die gepatchten Versionen für 2019, 2022 und 2025 GDR vor dem Rollout im MSRC Update Guide prüfen.
- Kein Notfall, sofern SQL Server nicht aus dem Internet erreichbar ist; in den regulären Patch-Zyklus aufnehmen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Offenlegung von Informationen – SQL Server
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- SQL Server
- Updates (KB)
- KB5132747, KB5129300, KB5132745, KB5132748, KB5132746, KB5132751
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-116935 msrc.microsoft.com
- KB5129299: SQL Server 2025 CU10 (November 2026) support.microsoft.com
- KB5132746: SQL Server 2017 CU31 (November 2026) support.microsoft.com
- Strix AI: CVE-2026-116935 www.strix.ai
- Senserva: KB5132746 tracker senserva.com
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.