Microsoft.Data.SqlClient: Authentication Bypass durch Capture-Replay

Zusammenfassung

Der .NET-Datenprovider Microsoft.Data.SqlClient, der von Anwendungen zur Verbindung mit SQL Server verwendet wird, enthält einen Authentication Bypass durch Capture-Replay (CWE-294). Ein Angreifer, der den Netzwerkverkehr zwischen einer betroffenen Anwendung und der Datenbank beobachten und wiedergeben kann, könnte Informationen offenlegen. Der Angreifer muss sich auf dem Datenverkehrspfad befinden, zum Beispiel im internen Netzwerk, und der Angriff wird als hohe Komplexität eingestuft; die Schwachstelle legt einen SQL Server nicht direkt aus dem Internet offen.

Betroffen

• Microsoft.Data.SqlClient 6.1 vor 6.1.7
• Microsoft.Data.SqlClient 7.0 vor 7.0.3
• Microsoft.Data.SqlClient 7.1 vor 7.1.0-preview3

Behoben in

• Microsoft.Data.SqlClient 6.1.7
• Microsoft.Data.SqlClient 7.0.3
• Microsoft.Data.SqlClient 7.1.0-preview3 (ein stabiles 7.1-Release ist wahrscheinlich die bessere Zielversion; auf MSRC oder NuGet prüfen)
• Companion-Pakete ebenfalls auf 7.0.3 aktualisieren, gemäss den Release Notes.

Umgehung

Unbekannt.

Ausnutzung

• Aktiv ausgenutzt (In the Wild): keine Hinweise gefunden; nicht gegen den CISA-KEV-Katalog geprüft.
• Die CVSS-Vektoren von Microsoft bewerten die Exploit-Reife als Proof-of-Concept (E:P).
• Ein unbestätigter Aggregator behauptet, ein öffentlicher Exploit sei verfügbar.
• CISA SSVC: Exploitation none, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Inventar der .NET-Anwendungen erstellen, die Microsoft.Data.SqlClient referenzieren, inklusive transitiver Referenzen und Companion-Pakete.
• Auf 6.1.7, 7.0.3 oder ein stabiles 7.1-Release mit dem Fix aktualisieren, danach Anwendungen neu erstellen und neu ausrollen.
• Anwendungen priorisieren, die über unsichere oder geteilte Netzwerke genutzt werden, sowie solche mit sensiblen Personendaten.
• Die MSRC-Warnung auf zusätzliche Hinweise prüfen und erneut kontrollieren, da die Informationen sehr aktuell sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-62903 msrc.microsoft.com
• CVE Record (CNA: Microsoft) www.cve.org
• dotnet/sqlclient release notes github.com
• Microsoft Tech Community: SqlClient security updates (2024) techcommunity.microsoft.com
• CWE-294 definition (MITRE) cwe.mitre.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:17.