Microsoft SQL Server: Rechteerweiterung über SQL-Injection
Zusammenfassung
Eine SQL-Injection-Schwachstelle in Microsoft SQL Server (CWE-89) erlaubt einem berechtigten Angreifer, seine Rechte über das Netzwerk zu erweitern. Der Angreifer benötigt ein gültiges Datenbankkonto mit niedrigen Rechten, und laut CVSS-Vektor ist eine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung würde dem Angreifer höhere Datenbankrechte verschaffen, als vorgesehen sind, wodurch Daten offengelegt oder verändert werden könnten. Der CVSS-Basiswert beträgt 8.0 (hoch).
Betroffen
- SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
- SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis unter 14.0.3570.2
- SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
- SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis unter 15.0.4510.2
- SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
- SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis unter 16.0.4315.2
- SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
- SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis unter 17.0.1155.3
Behoben in
- Korrigierte Builds gemäss CVE-Eintrag: 14.0.2150.2 (2017 GDR), 14.0.3570.2 (2017 CU31), 15.0.2210.4 (2019 GDR), 15.0.4510.2 (2019 CU32), 16.0.1220.3 (2022 GDR), 16.0.4315.2 (2022 CU27), 17.0.5045.3 (2025 CU10), 17.0.1155.3 (2025 GDR)
- Gemeldete KB-Nummern aus Sekundärquellen, in der MSRC-Meldung zu überprüfen: KB5132746 (2017 CU31), KB5132745 (2019 CU32), KB5129300 (2022 CU27), KB5129299 (2025 CU10)
- KB-Nummern für die GDR-Zweige: Unbekannt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Unbekannt, ob Microsoft eine konfigurationsbasierte Massnahme dokumentiert. Die MSRC-Meldung prüfen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Offenlegung.
- Der CVSS-Vektor zeigt eine unbewiesene Reife des Exploit-Codes (E:U).
- In den Quellen wurde kein öffentlicher Proof of Concept oder Exploit gefunden. Ein Ausbleiben ist nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob Ihre SQL-Server-Builds in den betroffenen Bereichen liegen.
- Das Sicherheitsupdate für Ihren Zweig installieren, nach Prüfung der Versionshinweise und der Anforderung an das Servicing Stack Update.
- Bis zur Korrektur den Netzwerkzugriff auf SQL Server einschränken und begrenzen, welche Konten sich verbinden dürfen.
- Konten mit niedrigen Rechten überprüfen und nicht benötigte Datenbankberechtigungen entfernen.
- SQL Server nicht dem Internet aussetzen. Internetexponierte oder mandantenfähige Instanzen priorisieren.
- Ungewöhnliche Rechteänderungen sowie fehlgeschlagene oder unerwartete SQL-Aktivitäten überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-118119 msrc.microsoft.com
- CVE Record CVE-2026-118119 www.cve.org
- Threatint NVD mirror: CVE-2026-118119 cve.threatint.com
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
- Updatebureau: Updates November 2026 updatebureau.com
- NTCompatible: Microsoft November 2026 Patch Tuesday www.ntcompatible.com
- Strix: CVE-2026-118119 www.strix.ai
- Red9: Microsoft SQL Server builds red9.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.