Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) in Microsoft SQL Server erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt einen gültigen Datenbank-Login mit niedrigen Berechtigungen, der CVSS-3.1-Basiswert beträgt 8.8. Ein erfolgreicher Angriff könnte Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers vollständig beeinträchtigen.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis unter 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis unter 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis unter 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis unter 17.0.1155.3

Behoben in

• Installieren Sie das Microsoft-Update für Ihren Zweig mit einer Build-Nummer, die mindestens der oben genannten Build-Nummer entspricht.
• Das SQL Server 2025 GDR-Update vom 10. November 2026 (KB5132748) führt diese CVE als behoben auf.
• Bestätigen Sie die exakten Build-Nummern je Zweig im MSRC-Advisory, bevor Sie patchen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.

• Beschränken Sie bis zum Patch, welche Konten sich an der Datenbank anmelden dürfen.
• Beschränken Sie den Netzwerkzugriff auf den SQL-Server-Port auf vertrauenswürdige Hosts. Dies ist allgemeine Härtungsempfehlung und keine Empfehlung von Microsoft.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht im Katalog CISA KEV gelistet.

Unsere Empfehlung

• Erfassen Sie alle SQL-Server-Instanzen und deren exakte Build-Nummern.
• Patchen Sie betroffene Instanzen im nächsten Wartungsfenster, zuerst Server, die von ausserhalb des LAN erreichbar sind oder Konten mit anderen Systemen teilen.
• Prüfen Sie die Fixed-Builds anhand des MSRC-Advisory, da Drittanbieter-Quellen einzelne Bereiche aufführen, die Microsoft nicht bestätigt hat.
• Entfernen Sie nicht benötigte Datenbank-Logins, erzwingen Sie starke, eindeutige Passwörter und beschränken Sie den Zugriff auf den SQL-Server-Port.
• Überwachen Sie die Datenbank auf ungewöhnliche Aktivitäten und prüfen Sie, ob nicht mehr unterstützte SQL-Server-Zweige im Einsatz sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-116946 msrc.microsoft.com
• CVE Record CVE-2026-116946 (CVE.org) www.cve.org
• KB5132748: SQL Server 2025 GDR update, November 2026 support.microsoft.com
• Strix: CVE-2026-116946 (third-party summary) www.strix.ai
• Threatint: CVE-2026-116946 (third-party summary) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:34.