Microsoft SQL Server: Rechteerweiterung durch exponierte gefährliche Methode

Zusammenfassung

Eine Schwachstelle in Microsoft SQL Server legt eine gefährliche Methode oder Funktion offen (CWE-749), die einem berechtigten Angreifer über das Netzwerk eine Rechteerweiterung erlaubt. Der Angreifer benötigt einen gültigen Login mit niedrigen Rechten, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers beeinträchtigen.

Betroffen

• SQL Server 2017 GDR: 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3 (die MSRC-Tabelle nennt für den RTM-GDR-Bereich 17.0.1000.7 bis 17.0.1145.4; prüfen)

Behoben in

• SQL Server 2025 CU10+GDR: 17.0.5045.3 (Update 5129299)
• SQL Server 2025 RTM+GDR: 17.0.1155.3 (Update 5132748)
• SQL Server 2022 CU27+GDR2: 16.0.4315.2 (Update 5129300)
• SQL Server 2022 RTM+GDR: 16.0.1220.3 (Update 5132747)
• Behobene Builds für SQL Server 2017 GDR (14.0.2150.2) und 2019 CU32 (15.0.4510.2) sind im CVE-Eintrag aufgeführt; Builds für 2017 CU31 (14.0.3570.2) und 2019 GDR (15.0.2210.4) sind auf der MSRC-Seite nicht bestätigt

Umgehung

Kein vom Hersteller dokumentierter Workaround gefunden. Microsoft empfiehlt die Installation des jeweils passenden Sicherheitsupdates vom November 2026.

Ausnutzung

• Es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Kein öffentlicher Proof of Concept gefunden.
• Exploit-Reife laut CVE-Eintrag: Unproven (E:U).

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Versionen inventarisieren, einschliesslich GDR- und CU-Stand.
• Das passende Sicherheitsupdate vom November 2026 installieren, zuerst bei aus dem Internet erreichbaren oder sensitiven Instanzen.
• Die Build-Nummer nach dem Patchen überprüfen.
• Den Netzwerkzugriff auf die SQL-Server-Ports auf Applikationsserver beschränken.
• Prüfen, welche Konten auf jeder Instanz einen Login besitzen, und nicht benötigte Zugriffe mit niedrigen Rechten entfernen.
• SQL Server nicht ins Internet exponieren.
• Die MSRC-Seite und NVD auf Updates prüfen, da der NVD-Status noch Awaiting Analysis war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-84010 msrc.microsoft.com
• CVE Record CVE-2026-84010 www.cve.org
• KB5132748 SQL Server 2025 GDR November 2026 support.microsoft.com
• VulDB CVE-2026-84010 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:10.