Microsoft SQL Server: Informationsoffenlegung durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in Microsoft SQL Server erlaubt einem berechtigten Angreifer, über das Netzwerk Informationen offenzulegen. Der Angreifer muss bereits eine Datenbanksitzung mit hohen Privilegien besitzen, und die Auswirkung beschränkt sich auf die Vertraulichkeit. Der CVSS-3.1-Basiswert beträgt 4.9 (mittel).

Betroffen

• SQL Server 2017 (GDR): 14.0.0 vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 vor 17.0.1155.3

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2 (KB5132749)
• SQL Server 2017 CU31: 14.0.3570.2 (KB5132746, noch gegen die Microsoft-KB zu prüfen)
• SQL Server 2019 (GDR) und CU32: Unbekannt. Die exakte Build-Nummer ist auf der MSRC-Seite zu prüfen.
• SQL Server 2022 (GDR): KB5132747
• SQL Server 2022 CU27: KB5129300
• SQL Server 2025 CU10: KB5129299
• SQL Server 2025 (GDR): KB5132748

Umgehung

Unbekannt. In den ausgewerteten Quellen ist keine Workaround dokumentiert. Das Einspielen des Patches ist die Behebung.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Nicht bekannt.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA KEV: Nicht verifiziert.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und führt die Schwachstelle als nicht öffentlich bekannt.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 für den eigenen SQL-Server-Build einspielen und dabei den KB-Artikel des passenden Zweigs verwenden.
• Netzwerkzugriff auf die SQL-Server-Ports einschränken und SQL Server nie direkt im Internet exponieren.
• Datenbankkonten mit hohen Privilegien einschränken.
• Kumulative Updates vor dem breiten Rollout testen: In den KBs zu CU27 und CU10 wird ein bekanntes Problem mit einer Access Violation bei sys.dm_exec_requests während der Datenbankwiederherstellung beschrieben.
• Die MSRC-Seite für die Build-Nummern von 2019 prüfen und den NVD-Eintrag nach Abschluss der Analyse verifizieren.
• Das vollständige kumulative Update einspielen, da dieselbe Veröffentlichung gravierendere SQL-Server-Schwachstellen enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-116940 msrc.microsoft.com
• CVE Record CVE-2026-116940 www.cve.org
• KB5132749: SQL Server 2017 GDR support.microsoft.com
• KB5132747: SQL Server 2022 GDR support.microsoft.com
• KB5129300: SQL Server 2022 CU27 support.microsoft.com
• KB5129299: SQL Server 2025 CU10 support.microsoft.com
• KB5132748: SQL Server 2025 GDR support.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:40.