Microsoft SQL Server: Rechteausweitung durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft SQL Server 2017, 2019, 2022 und 2025 erlaubt es einem Angreifer, seine Rechte über das Netzwerk zu erweitern. Gemäss CVSS-Vektor benötigt der Angreifer hohe Berechtigungen, etwa einen bestehenden privilegierten oder datenbankseitigen Login, und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung würde Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen.

Betroffen

• Microsoft SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• Microsoft SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• Microsoft SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• Microsoft SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• Microsoft SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• Microsoft SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• Microsoft SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• Microsoft SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 GDR: 14.0.2150.2 (KB5132749)
• SQL Server 2017 CU31: 14.0.3570.2
• SQL Server 2019 GDR: 15.0.2210.4
• SQL Server 2019 CU32: 15.0.4510.2 (Drittanbieter-Tracker, noch nicht durch MSRC bestätigt)
• SQL Server 2022 GDR: 16.0.1220.3 (Drittanbieter-Tracker, noch nicht durch MSRC bestätigt)
• SQL Server 2022 CU27: 16.0.4315.2 (Drittanbieter-Tracker, noch nicht durch MSRC bestätigt)
• SQL Server 2025 GDR: 17.0.1155.3 (KB5132748, Drittanbieter-Tracker, noch nicht durch MSRC bestätigt)
• SQL Server 2025 CU10-Linie: 17.0.5045.3 (Drittanbieter-Tracker, CU-Bezeichnung nicht bestätigt)

Umgehung

Unbekannt.

In den Quellen wurde keine Workaround- oder Mitigationsmassnahme des Herstellers gefunden. Vor dem Einsatz einer Übergangslösung das MSRC Security Update Guide prüfen.

Ausnutzung

• Rapid7 stuft die Ausnutzung als Exploitation Less Likely ein.
• CISA-SSVC-Bewertung: Ausnutzung none, Automatisierbar no, technische Auswirkung total.
• Aus den Quellen sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
• Den CISA-KEV-Katalog prüfen, bevor der Eintrag geschlossen wird.

Unsere Empfehlung

• SQL Server auf den korrekten Fix-Build für den eigenen Zweig patchen. Alle Build-Nummern zuerst im MSRC Security Update Guide verifizieren.
• Die Erreichbarkeit von SQL Server aus dem Internet und aus Benutzernetzen einschränken.
• Konten mit hohen Datenbankrechten prüfen und gemeinsam genutzte oder nicht benötigte Dienstkonten entfernen.
• Prüfen, ob dasselbe Update-Paket (KB5132749) weitere SQL-Server-Schwachstellen wie CVE-2026-67374 abdeckt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-116944 msrc.microsoft.com
• CVE Record CVE-2026-116944 www.cve.org
• Microsoft KB5132749 (SQL Server 2017 GDR) support.microsoft.com
• Microsoft KB5132748 (SQL Server 2025 GDR) support.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-116944 (third-party tracker) www.strix.ai
• ThreatInt CVE-2026-116944 (third-party tracker) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:47.