Microsoft SQL Server: SQL-Injection führt zu Rechteausweitung

Zusammenfassung

Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), die zu einer Rechteausweitung führen kann. Ein authentisierter Angreifer mit einem Datenbankkonto mit niedrigen Rechten kann sie über das Netzwerk ausnutzen, wobei eine Benutzerinteraktion erforderlich ist. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Eine Ausnutzung wurde nicht beobachtet, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 for x64-based Systems (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 for x64-based Systems (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 CU31-Linie: 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.2210.4
• SQL Server 2019 CU32-Linie: 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 CU27-Linie: 16.0.4315.2
• SQL Server 2025 CU10-Linie: 17.0.5045.3
• SQL Server 2025 (GDR): 17.0.1155.3

Die Werte für 2022 und 2025 stammen von Drittanbieter-Trackern und müssen mit dem MSRC-Advisory verifiziert werden.

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und kennzeichnet die öffentliche Offenlegung mit Nein.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Installieren Sie das passende Microsoft-Sicherheitsupdate für Ihren SQL-Server-Build und prüfen Sie die Build-Nummern im MSRC-Advisory.
• Prüfen Sie, ob SQL Server aus dem Internet erreichbar ist, und beschränken Sie die Ports 1433 und 1434.
• Überprüfen Sie Datenbankkonten und Anwendungslogins auf breite Rechte und entfernen Sie geteilte Konten.
• Priorisieren Sie Server mit Kundendaten oder Webanwendungen, besonders Builds 2017 und 2019, und patchen Sie im nächsten Wartungsfenster.
• Nehmen Sie CVE-2026-118112 und CVE-2026-118114 im gleichen Patch-Zyklus auf, da sie aus derselben Produktfamilie stammen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118113 msrc.microsoft.com
• CVE Record: CVE-2026-118113 www.cve.org
• Microsoft KB5132748: SQL Server 2025 GDR, November 2026 support.microsoft.com
• Strix: CVE-2026-118113 www.strix.ai
• ThreatInt: CVE-2026-118113 cve.threatint.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:56.