Microsoft SQL Server: Rechteerweiterung über SQL-Injection

Zusammenfassung

Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), die es einem berechtigten Angreifer erlaubt, über das Netzwerk seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung hätte hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers und seiner Daten.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• Korrigierte Builds gemäss CNA-Eintrag (Grenzversionen, gegen das Microsoft-Advisory und die KB-Pakete zu verifizieren):
• 2017 GDR: 14.0.2150.2
• 2017 CU31 (x64): 14.0.3570.2
• 2019 GDR: 15.0.2210.4
• 2019 CU32 (x64): 15.0.4510.2
• 2022 GDR: 16.0.1220.3
• 2022 CU27 (x64): 16.0.4315.2
• 2025 CU10: 17.0.5045.3
• 2025 GDR (x64): 17.0.1155.3
• Das KB-Paket für jeden Zweig ist in den verfügbaren Quellen nicht bestätigt.

Umgehung

• Unbekannt. Es wurde keine von Microsoft veröffentlichte Zwischenlösung gefunden.
• Bis zur Korrektur die Anmeldung am Instanzen auf die nötigen Konten beschränken und deren Berechtigungen auf das Minimum reduzieren.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt, keine Hinweise gefunden.
• Öffentlicher Proof of Concept: Unbekannt, keine Hinweise gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der CVSS-Temporalvektor (E:U) zeigt zum Zeitpunkt der Veröffentlichung unbewiesenen Exploit-Code an.

Unsere Empfehlung

• SQL-Server-Hosts im nächsten Wartungsfenster auf den korrigierten Build für jeden installierten Zweig patchen; Instanzen mit vielen Login- oder gemeinsam genutzten Anwendungskonten sowie Instanzen, die aus anderen Netzwerksegmenten erreichbar sind, priorisieren.
• Betroffene und korrigierte Versionen vor dem Rollout gegen das Microsoft-Advisory prüfen.
• Konten mit hohen Berechtigungen überprüfen und nicht benötigte Logins entfernen.
• Auf Ausnutzung überwachen und das Feld Exploited im MSRC sowie CISA KEV erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-118105 msrc.microsoft.com
• CVE Record CVE-2026-118105 www.cve.org
• Strix CVE-2026-118105 www.strix.ai
• ThreatInt CVE-2026-118105 cve.threatint.com
• Microsoft SQL Server 2025 GDR KB5132748 (November 2026) support.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:33.