Microsoft SQL Server: Heap-basierter Pufferüberlauf führt zu Rechteerweiterung

Zusammenfassung

Microsoft SQL Server 2017, 2019, 2022 und 2025 (GDR- und CU-Builds) enthält einen heap-basierten Pufferüberlauf. Ein Angreifer mit einem gültigen SQL-Login mit niedrigen Rechten kann seine Rechte über das Netzwerk erweitern. Die Ausnutzung erfordert eine hohe Angriffskomplexität und ein bestehendes SQL-Login, was bei gemeinsam genutzten oder Dienstkonten häufig vorkommt. Microsoft hat die Lücke in den Sicherheitsupdates vom 13. Oktober 2026 behoben. Es sind keine Ausnutzung und kein öffentlicher Proof of Concept bekannt.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2140.2
• SQL Server 2017 x64 (CU31): 14.0.3006.16 bis unter 14.0.3560.2 (laut CVE-Eintrag)
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2200.2
• SQL Server 2019 x64 (CU32): 15.0.4003.23 bis unter 15.0.4500.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1210.3
• SQL Server 2022 x64 (CU27): 16.0.4003.1 bis unter 16.0.4305.5
• SQL Server 2025 x64 (CU9): 17.0.4006.2 bis unter 17.0.5015.4
• SQL Server 2025 x64 (GDR): 17.0.1050.2 bis unter 17.0.1145.4
• SQL Server 2025 CU8: Status unverifiziert, als betroffen behandeln

Behoben in

• SQL Server 2017 RTM+GDR: 14.0.2140.2 (KB5128497)
• SQL Server 2017 CU31: Fix-Build unverifiziert, MSRC oder KB5128496 prüfen
• SQL Server 2019 RTM+GDR: 15.0.2200.2 (KB5128495)
• SQL Server 2019 CU32+GDR: 15.0.4500.2 (KB5128494)
• SQL Server 2022 RTM+GDR: 16.0.1210.3 (KB5128493)
• SQL Server 2022 CU27+GDR1: 16.0.4305.5 (KB5126934)
• SQL Server 2025 RTM+GDR: 17.0.1145.4 (KB5128492)
• SQL Server 2025 CU9+GDR: 17.0.5015.4 (KB5126967)
• SQL Server 2025 CU8: kein Fix bekannt, auf einen unterstützten Build wechseln

Umgehung

Unbekannt.

• Es ist kein Workaround dokumentiert. Das Patchen ist die Abhilfe.
• Zusätzliche Risikominderung (nicht vom Hersteller): Vergabe von SQL-Logins einschränken, ungenutzte Konten entfernen und den Netzwerkzugriff auf den SQL-Port auf Applikationsserver beschränken.

Ausnutzung

• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total
• Keine Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept gefunden
• EPSS-Wert laut Drittanbieter: 0.00389

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 für Ihre SQL-Server-Version und Ihren Build installieren.
• Für SQL Server 2017 CU31 den Fix in KB5128496 oder auf der MSRC-Seite prüfen.
• CU8-Instanzen auf einen unterstützten Build migrieren.
• SQL-Logins prüfen, ungenutzte und gemeinsam genutzte Konten entfernen und den Zugriff auf den SQL-Port auf Applikationsserver beschränken.
• Patches zuerst testen: KB5126934 hält fest, dass sys.dm_exec_requests während der Wiederherstellung einer Datenbank eine Zugriffsverletzung auslösen und eine Dump-Datei erzeugen kann.
• Server mit vielen Benutzerkonten oder gemeinsam genutzten Dienstkonten priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-68883 msrc.microsoft.com
• KB5126934 - SQL Server 2022 CU27 security update support.microsoft.com
• KB5128497 - SQL Server 2017 GDR security update support.microsoft.com
• Vulners entry with EPSS and CVSS (third party) vulners.com
• Senserva KB entry on exploitation status (third party) senserva.com
• Strix version cross-check (third party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:42.