Microsoft SQL Server: SQL-Injection führt zu Rechteausweitung
Zusammenfassung
Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), die es einem authentifizierten Angreifer erlaubt, seine Rechte über das Netzwerk auszuweiten. Der Angreifer benötigt ein gültiges Datenbankkonto mit niedrigen Rechten, aber keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung kann hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben. Der CVSS-3.1-Basiswert beträgt 8.8, und die Analyse durch die NVD ist noch ausstehend.
Betroffen
- SQL Server 2017 (GDR): 14.0.0 vor 14.0.2150.2
- SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 vor 14.0.3570.2
- SQL Server 2019 (GDR): 15.0.0 vor 15.0.2210.4
- SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 vor 15.0.4510.2 (sekundäre Quelle)
- SQL Server 2022 (GDR): 16.0.0 vor 16.0.1220.3 (sekundäre Quelle)
- SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 vor 16.0.4315.2 (sekundäre Quelle)
- SQL Server 2025 CU10: 17.0.4006.0 vor 17.0.5045.3 (sekundäre Quelle)
- SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 vor 17.0.1155.3
Behoben in
- SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1155.3, via KB5132748 (10. November 2026)
- Alle anderen Zweige: Unbekannt. Die korrigierten Versionen und KB-Nummern sind dem MSRC-Advisory zu entnehmen.
Umgehung
Unbekannt. In den Quellen wurde keine Massnahme oder Umgehungslösung gefunden. Das Einspielen des Sicherheitsupdates ist der empfohlene Weg.
Ausnutzung
- Die CVSS-Exploit-Reife von Microsoft ist Unproven (E:U).
- Es wurde kein öffentlicher Proof of Concept und kein Bericht über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle betroffenen SQL-Server-Zweige patchen, sobald die korrigierten Versionen im MSRC-Advisory bestätigt sind. Mit SQL Server 2025 GDR (17.0.1155.3) beginnen.
- Die Anzahl der Konten mit Datenbankanmeldung einschränken und Konten mit niedrigen Rechten überprüfen.
- Sicherstellen, dass die SQL-Server-Ports nicht aus dem Internet erreichbar sind.
- Datenbankprotokolle bis zum Abschluss des Patchens auf ungewöhnliche Abfragen und Rechteänderungen überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-118110 www.cve.org
- Microsoft KB5132748 (SQL Server 2025 GDR) support.microsoft.com
- MSRC Security Update Guide advisory msrc.microsoft.com
- Threatint aggregator (secondary, verify against MSRC) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.