Microsoft SQL Server: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf (CWE-122) in Microsoft SQL Server erlaubt Remote Code Execution über das Netzwerk. Ein Angreifer benötigt Netzwerkzugriff und ein Konto mit niedrigen Berechtigungen, zum Beispiel ein beliebiges SQL-Login oder ein Dienstkonto einer Anwendung, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Datenbankservers führen, und durch die Scope-Änderung kann sich die Auswirkung auch auf Systeme ausserhalb von SQL Server erstrecken.

Betroffen

• SQL Server 2017 GDR: 14.0.0 bis vor 14.0.2140.2
• SQL Server 2017 CU31 (x64): 14.0.3006.16 bis vor 14.0.3560.2
• SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2200.2
• SQL Server 2019 CU32 (x64): 15.0.4003.23 bis vor 15.0.4500.2
• SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1210.3
• SQL Server 2022 CU27 (x64): 16.0.4003.1 bis vor 16.0.4305.5
• SQL Server 2025 CU9 (x64): 17.0.4006.2 bis vor 17.0.5015.4
• SQL Server 2025 GDR (x64): 17.0.1050.2 bis vor 17.0.1145.4
• SQL Server 2016 und 2014: Unbekannt.

Behoben in

• SQL Server 2017 GDR: 14.0.2140.2 (KB5128497)
• SQL Server 2017 CU31: 14.0.3560.2 (KB5128496)
• SQL Server 2019 GDR: 15.0.2200.2 (KB5128495)
• SQL Server 2019 CU32: 15.0.4500.2 (KB5128494)
• SQL Server 2022 GDR: 16.0.1210.3 (KB5128493)
• SQL Server 2022 CU27: 16.0.4305.5 (KB5126934)
• SQL Server 2025 CU9: 17.0.5015.4 (KB5126967)
• SQL Server 2025 GDR: 17.0.1145.4 (KB5128492)
• Die Fix-Builds stammen aus Sekundärquellen und müssen im MSRC-Advisory verifiziert werden.

Umgehung

Unbekannt. Es ist keine allgemeine Workaround-Massnahme dokumentiert. Trace Flag 4696 ist für diese CVE keine Massnahme, solange Microsoft dies nicht bestätigt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Zum Zeitpunkt der Recherche kein Eintrag im CISA-KEV-Katalog gefunden.
• Kein öffentlicher Proof-of-Concept gefunden.
• EPSS 0.00389 (niedrige Wahrscheinlichkeit einer Ausnutzung).
• Ein Tenable-Plugin gibt an, dass keine bekannten Exploits existieren, dies ist jedoch ein Feld auf Plugin-Ebene.

Unsere Empfehlung

• Alle lokal betriebenen SQL-Server-Instanzen und deren Builds erfassen.
• Die oben genannten Fix-Builds nach Verifizierung im MSRC-Advisory einspielen. Vorab auf das bekannte DMV-Access-Violation-Problem in SQL Server 2025 CU9 testen.
• SQL-Server-Ports (Standard 1433) aus nicht vertrauenswürdigen Netzwerken blockieren.
• SQL-Logins und Dienstkonten prüfen und deren Berechtigungen einschränken.
• Änderungen des Ausnutzungsstatus überwachen, die oft nach der Veröffentlichung eines Proof-of-Concept auftreten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-67625 msrc.microsoft.com
• SQL Server 2017 GDR release notes (KB5128497) support.microsoft.com
• SQL Server 2025 CU9 GDR release notes (KB5126967) support.microsoft.com
• Vulners: MS:CVE-2026-67625 vulners.com
• Tenable plugin 365627 www.tenable.com
• CVE record summary (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:41.