Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Microsoft SQL Server enthält einen heap-basierten Pufferüberlauf (CWE-122), der es einem autorisierten Angreifer erlaubt, über das Netzwerk Code auszuführen. Der Angreifer benötigt gültige Zugangsdaten mit niedrigen Berechtigungen für die Datenbank, daher besteht das Hauptrisiko bei SQL-Server-Instanzen, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind oder von vielen Konten genutzt werden. Die Analyse durch die NVD steht noch aus, und das Herstelleradvisory konnte für diese CVE-ID nicht verifiziert werden.
Betroffen
- Microsoft SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
- Microsoft SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
- Microsoft SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
- Microsoft SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
- Microsoft SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
- Microsoft SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
- Microsoft SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
- Microsoft SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3
Behoben in
Unbekannt. Die korrigierten Builds für CVE-2026-67637 konnten nicht aus dem Herstelleradvisory bestätigt werden.
Umgehung
Unbekannt. Für diese CVE wurde keine Workaround oder Gegenmassnahme gefunden.
Ausnutzung
Unbekannt. Für diese CVE wurden weder Ausnutzung in freier Wildbahn, öffentlicher Proof of Concept noch ein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Das MSRC-Advisory für CVE-2026-67637 direkt prüfen, um betroffene und korrigierte Builds zu bestätigen.
- Alle SQL-Server-Instanzen und deren Versionen inventarisieren und sicherstellen, dass keine aus dem Internet erreichbar ist.
- Datenbankkonten prüfen und nicht benötigte oder unnötige Logins entfernen.
- Das kumulative Sicherheitsupdate für jeden installierten Zweig einspielen, sobald der korrigierte Build bestätigt ist.
- NVD und CISA KEV erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-67637 msrc.microsoft.com
- CVE Record CVE-2025-67637 (CVE.org) www.cve.org
- MSRC advisory for sibling CVE-2026-67639 msrc.microsoft.com
- SQL Server 2025 GDR September 2026 (KB5122770) support.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.