Microsoft SQL Server: SQL-Injection führt zur Rechteausweitung

Zusammenfassung

Eine SQL-Injection-Schwachstelle in Microsoft SQL Server erlaubt einem berechtigten Angreifer, über das Netzwerk seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten und Netzwerkzugriff auf die SQL-Instanz, und die Angriffskomplexität wird als hoch eingestuft. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers beeinträchtigen. Der NVD-Status lautet noch Awaiting Analysis.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3
• Andere Zweige: Unbekannt.

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3570.2
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1155.3
• Diese Builds sind mit dem MSRC-Advisory zu überprüfen. Die KB-Artikelnummern je Zweig sind Unbekannt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Einspielen des Sicherheitsupdates ist die verfügbare Massnahme.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Drittanbieter-Aggregator führt die CVE nicht im KEV-Katalog. Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Temporäre Metriken des CNA: Ausnutzungsreife unbewiesen, Berichtssicherheit bestätigt.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und ihre Builds inventarisieren.
• Das Sicherheitsupdate vom November 2026 für den passenden Zweig einspielen, im nächsten Wartungsfenster priorisiert.
• Konten mit Datenbank-Anmelderechten überprüfen und nicht benötigte oder gemeinsam genutzte Konten entfernen.
• Netzwerkzugriff auf SQL Server auf die nötigen Applikationsserver beschränken und sicherstellen, dass der Dienst nicht aus dem Internet erreichbar ist.
• Ungewöhnliche Anmeldungen und Rechteänderungen auf Datenbankservern überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide (vendor advisory) msrc.microsoft.com
• CVE.org CNA record www.cve.org
• KB5132748 SQL Server 2025 GDR November 2026 support.microsoft.com
• Strix CVE summary (third-party) www.strix.ai
• ThreatInt CVE summary (third-party) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:38.