Microsoft SQL Server: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch), und der Angreifer benötigt einen gültigen Login mit niedrigen Rechten (PR:L). Der offizielle CVE-Eintrag nennt betroffene Builds von SQL Server 2025, die NVD-Analyse steht jedoch noch aus und die behebenden Builds für diese CVE sind nicht bestätigt.
Betroffen
- Microsoft SQL Server 2025 CU10: 17.0.4006.0 bis < 17.0.5045.3
- Microsoft SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis < 17.0.1155.3
Behoben in
Unbekannt. Für CVE-2026-67372 nicht bestätigt. Die behebenden Builds sind dem MSRC-Advisory zu entnehmen.
Umgehung
Unbekannt. Für diese CVE wurde keine Massnahme des Herstellers gefunden.
Ausnutzung
Unbekannt. Für diese CVE wurde weder ein Eintrag im KEV-Katalog noch ein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Das MSRC-Advisory öffnen und die betroffenen Produkte sowie die behebenden Builds erfassen.
- Alle SQL-Server-Instanzen inventarisieren, inklusive Version, Build und Netzwerkerreichbarkeit.
- Den Zugriff auf den SQL-Server-Port und die Management-Schnittstellen auf die benötigten Applikationsserver beschränken. SQL Server nicht direkt ins Internet exponieren.
- Das Update vom September 2026 für den jeweiligen Branch jeder Instanz einspielen, sobald bestätigt ist, dass es diese CVE abdeckt.
- Bis zur Behebung ungewöhnliche Logins und Prozesse auf den Datenbankservern überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-67372 msrc.microsoft.com
- Microsoft KB5122770: SQL Server 2025 GDR, September 2026 (related batch, not confirmed for this CVE) support.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.