Microsoft SQL Server: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Microsoft SQL Server enthält einen Out-of-Bounds-Read (CWE-125), der es einem nicht autorisierten Angreifer ermöglicht, über das Netzwerk Informationen offenzulegen. Die CVSS-Bewertung zeigt nur eine hohe Auswirkung auf die Vertraulichkeit, Integrität und Verfügbarkeit sind nicht betroffen. Das Risiko ist dort am grössten, wo der SQL-Server-Port aus dem Internet oder aus unvertrauenswürdigen Netzen erreichbar ist. Der CVSS-Vektor enthält zusätzlich eine Benutzerinteraktion, was anhand des MSRC-Eintrags zu prüfen ist.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 GDR: 14.0.2150.2 (KB5132749)
• SQL Server 2017 CU31: 14.0.3570.2 (KB-Zuordnung von Microsoft nicht bestätigt; prüfen)
• SQL Server 2019 GDR: 15.0.2210.4 (KB5132751)
• SQL Server 2019 CU32 GDR: 15.0.4510.2 (KB5132745)
• SQL Server 2022 GDR: 16.0.1220.3 (KB5132747)
• SQL Server 2022 CU27 GDR2: 16.0.4315.2 (KB5129300)
• SQL Server 2025 CU10 GDR: 17.0.5045.3 (KB5129299)
• SQL Server 2025 GDR: 17.0.1155.3 (KB5132748)

Umgehung

Unbekannt. Kein Workaround des Herstellers identifiziert; die Behebung erfolgt über das kumulative Update. Allgemeine Härtung: Zugriff auf SQL-Server-Ports wie 1433 auf die benötigten Anwendungsserver beschränken.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Rapid7 stuft die CVE als Exploitation Less Likely ein und nicht öffentlich bekannt.
• CISA SSVC: keine Ausnutzung, nicht automatisierbar.
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Build-Nummern inventarisieren.
• In der Update-Periode November 2026 auf die oben aufgeführten Builds patchen. Dasselbe Update behebt auch CVE-2026-67646, eine Remote-Code-Execution-Schwachstelle in SQL Server.
• Vor dem Rollout das KB-Set jeder Instanz auf der MSRC-Seite bestätigen.
• Netzwerkzugriff auf den SQL-Server-Port beschränken und diesen nicht aus dem Internet erreichbar machen.
• Datenbank-Logs auf ungewöhnliche Verbindungen oder Abfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118103 msrc.microsoft.com
• KB5132748: SQL Server 2025 GDR, November 2026 support.microsoft.com
• KB5132749: SQL Server 2017 GDR, November 2026 support.microsoft.com
• KB5132751: SQL Server 2019 GDR, November 2026 support.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva: KB5132746 summary senserva.com
• Qualys: Patch Tuesday November 2026 review blog.qualys.com
• ThreatInt: CVE-2026-118103 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:14.