Microsoft SQL Server: Informationspreisgabe durch nicht initialisierte Ressource

Zusammenfassung

Microsoft SQL Server enthält eine Verwendung einer nicht initialisierten Ressource, die eine Informationspreisgabe ermöglicht. Ein authentifizierter Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff auf den Server kann Daten lesen, die er nicht sehen dürfte, wobei die Auswirkung auf die Vertraulichkeit hoch ist und keine Benutzerinteraktion nötig ist. Das praktische Risiko liegt vor allem bei Insidern oder kompromittierten Anwendungs- oder Dienstkonten und nicht bei nicht authentifizierten Angreifern aus dem Internet. Microsoft hat Korrekturen in den Updates vom November 2026 veröffentlicht.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 vor 17.0.1155.3

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2 (KB5132749)
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3570.2 (KB5132746)
• SQL Server 2019 (GDR): 15.0.2210.4 (KB5132751)
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4510.2 (KB5132745)
• SQL Server 2022 (GDR): 16.0.1220.3 (gemäss sekundärer Quelle, KB nicht verifiziert)
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4315.2 (gemäss sekundärer Quelle, KB nicht verifiziert)
• SQL Server 2025 CU10: 17.0.5045.3 (KB nicht verifiziert)
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1155.3 (KB5132748)

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden.
• Das Installieren des Sicherheitsupdates ist die vom Hersteller genannte Massnahme.
• Allgemeine Härtung (eigene Empfehlung): Netzwerkzugriff auf SQL Server einschränken und Datenbankkonten auf das nötige Minimum beschränken.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Rapid7 stuft sie als 'Exploitation Less Likely' ein; sie ist nicht öffentlich bekannt.
• Kein öffentlicher Proof of Concept gefunden; VulDB listet keinen verfügbaren Exploit.
• EPSS: Unbekannt.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 für Ihre SQL-Server-Version im nächsten regulären Wartungsfenster installieren.
• Die installierte Version prüfen (z. B. mit SELECT @@VERSION) und mit den oben genannten korrigierten Versionen vergleichen.
• Sicherstellen, dass SQL Server nicht aus dem Internet erreichbar ist, und den Netzwerkzugriff darauf einschränken.
• Dienst- und Anwendungskonten mit Datenbankzugriff überprüfen und auf ungewöhnliche Abfragen oder Anmeldungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-67382 (CNA record) www.cve.org
• MSRC Security Update Guide: CVE-2026-67382 msrc.microsoft.com
• Microsoft KB5132749: SQL Server 2017 GDR, November 2026 support.microsoft.com
• Microsoft KB5132748: SQL Server 2025 GDR, November 2026 support.microsoft.com
• Rapid7: Patch Tuesday November 2026 (exploitation status) www.rapid7.com
• VulDB entry 435266 (mitigation, exploit status) vuldb.com
• Senserva KB 5132746 (secondary, exploitation status) senserva.com
• SQL Server build versions (secondary) sqlserverbuilds.blogspot.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:57.