Microsoft SQL Server: Rechteausweitung durch fehlerhafte Herkunftsprüfung

Zusammenfassung

Microsoft SQL Server enthält einen Fehler bei der Herkunftsprüfung (CWE-346), der es einem autorisierten Angreifer erlaubt, über das Netzwerk seine Rechte zu erweitern. Gemäss CVSS-Vektor benötigt der Angreifer ein Konto mit niedrigen Rechten und eine Interaktion durch einen Benutzer. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden mit CVSS 8.0 als hoch eingestuft. Rapid7 und ZDI stufen die Ausnutzung als weniger wahrscheinlich ein und melden keine öffentlichen Exploits.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3
• Azure SQL und andere von Microsoft gehostete Dienste: Unbekannt.

Behoben in

• Sicherheitsupdate vom November 2026 für jeden betroffenen Zweig (korrigierte Builds gemäss obiger Liste).
• SQL Server 2025 GDR: Build 17.0.1155.3 (KB5132748). Bitte prüfen, ob diese CVE im KB enthalten ist.

Umgehung

• Keine bekannte Herstellerumgehung. Das Einspielen des Patches ist die Korrektur.
• Zusätzliche Härtung: Mitglieder der Rolle sysadmin und anderer Serverrollen mit hohen Rechten überprüfen, nicht benötigte erhöhte Rechte von Applikations- und Dienstkonten entfernen und SQL Server nicht direkt dem Internet aussetzen.

Ausnutzung

• Rapid7 stuft die CVE als weniger wahrscheinlich ausnutzbar ein und meldet keine öffentliche Bekanntgabe.
• ZDI meldet, dass keine SQL-Server-Schwachstellen dieses Releases öffentlich bekannt oder ausgenutzt sind.
• Kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden (direkt im KEV-Katalog prüfen).

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen SQL-Server-Instanzen im nächsten geplanten Wartungsfenster einspielen, früher, falls SQL Server aus unvertrauten Netzwerken erreichbar ist.
• Genaue Build-Nummern vor Änderungsarbeiten im MSRC-Advisory bestätigen.
• Datenbankrollen mit hohen Rechten und Rechte von Dienstkonten überprüfen und reduzieren.
• Prüfen, ob SQL Server dem Internet ausgesetzt ist oder mit internetexponierten Applikationen geteilt wird.
• Die separate SQL-Server-Schwachstelle desselben Releases mit CVSS 9.8 zuerst patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118111 msrc.microsoft.com
• CVE Record CVE-2026-118111 www.cve.org
• Microsoft KB5132748 SQL Server 2025 GDR November 2026 support.microsoft.com
• Rapid7 Patch Tuesday review November 2026 www.rapid7.com
• ZDI November 2026 security update review www.thezdi.com
• ThreatInt CVE-2026-118111 (third-party copy) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:55.