Microsoft SQL Server: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVE-Eintrag nennt betroffene Builds der Zweige 2017, 2019, 2022 und 2025. Ein gültiger Datenbank-Login ist erforderlich, daher braucht ein Angreifer zunächst einen Zugang; bei erfolgreichem Angriff kann der Datenbankserver jedoch in Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittiert werden.

Betroffen

• Gemäss offiziellem CVE-Eintrag (CNA: Microsoft):
• SQL Server 2017 (GDR): 14.0.0 bis < 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis < 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis < 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis < 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis < 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis < 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis < 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis < 17.0.1155.3
• Hinweis: Das Microsoft-Advisory konnte nicht zur Überprüfung abgerufen werden; Drittanbieter-Tracker weichen bei verwandten CVEs voneinander ab.

Behoben in

• Unbekannt aus dem CVE-Eintrag und dem Microsoft-Advisory (nicht abrufbar).
• Nicht bestätigte Kandidaten-Builds aus den Sicherheitsupdates vom 8. September 2026, die diese CVE nicht bestätigt beheben:
• SQL Server 2017 GDR: 14.0.2130.4
• SQL Server 2017 CU31: 14.0.3550.4
• SQL Server 2019 GDR: 15.0.2190.7
• SQL Server 2022 GDR: 16.0.1200.5
• SQL Server 2022 CU26: 16.0.4275.2
• SQL Server 2025 GDR: 17.0.1135.8
• Ein späteres Update-Paket vom Oktober 2026 wird von einem Drittanbieter genannt und ist nicht verifiziert.

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
• Netzwerkzugriff auf SQL Server auf vertrauenswürdige Applikationsserver beschränken.
• SQL Server nicht aus dem Internet erreichbar machen und Datenbankkonten mit minimalen Rechten betreiben.

Ausnutzung

• Unbekannt. Es wurden keine Berichte über Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. CISA KEV und die MSRC-Seite prüfen.

Unsere Empfehlung

• Betroffene Builds und den korrigierten Build für CVE-2026-67374 vor dem Rollout auf der MSRC-Seite bestätigen.
• Alle SQL-Server-Instanzen und deren Builds inventarisieren.
• Auf den Microsoft-Build des eigenen Zweigs patchen, vorher testen; das Update vom September 2026 hat ein gemeldetes Problem mit Linked-Server-Abfragen über MSDASQL (Fehler 7416).
• Internet-exponierte Hosts und Server mit sensiblen Daten priorisieren.
• Datenbankkonten prüfen und nicht benötigte Logins entfernen.
• SQL-Server-Protokolle auf ungewöhnliche Anmeldungen und Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-67374 msrc.microsoft.com
• Microsoft Security Update Guide: CVE-2026-67373 (sibling CVE) msrc.microsoft.com
• KB5122770: SQL Server 2025 GDR September 2026 support.microsoft.com
• KB5122771: SQL Server 2022 GDR September 2026 support.microsoft.com
• KB5122773: SQL Server 2019 GDR September 2026 support.microsoft.com
• KB5122774: SQL Server 2017 CU31 GDR September 2026 support.microsoft.com
• KB5122768: SQL Server 2022 CU26 GDR September 2026 support.microsoft.com
• Senserva: SQL Server update known issue (KB5122773) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:05.