Microsoft WDAC OLE DB provider for SQL: Heap-basierter Pufferüberlauf ermöglicht Codeausführung

Zusammenfassung

Der OLE DB Provider für SQL Server im Windows Data Access Components (WDAC), den Windows-Anwendungen für die Kommunikation mit SQL-Server-Datenbanken verwenden, enthält einen heap-basierten Pufferüberlauf (CWE-122). Ein nicht authentifizierter Angreifer kann über das Netzwerk Code ausführen; der CVSS-Wert beträgt 8.8. Gemäss den Recherchenotizen setzt die Ausnutzung voraussichtlich voraus, dass sich ein Benutzer mit einem bösartigen oder vom Angreifer kontrollierten SQL-Endpunkt verbindet, was zur Benutzerinteraktion im Vektor passt; dieser Auslöser ist für diese CVE nicht bestätigt.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Korrigierte Builds gemäss CVE-Eintrag siehe obige Bereiche; das kumulative Update für jeden Windows-Build ist in der Microsoft-Advisory aufgeführt.
• Korrigierte Builds laut einem Drittanbieter-Aggregator (nicht verifiziert): Windows 10 1809 10.0.17763.9376, 21H2 10.0.19044.7807, 22H2 10.0.19045.7807, Windows 11 23H2 10.0.22631.7652.

Umgehung

Unbekannt. Es wurde keine offizielle Umgehungslösung gefunden. Bis zum Patch Verbindungen von Clients zu nicht vertrauenswürdigen SQL-Endpunkten einschränken und ausgehende Datenbankverbindungen von Arbeitsstationen und Servern beschränken.

Ausnutzung

• Gemäss Drittanbieter keine Hinweise auf Ausnutzung in freier Wildbahn am 10. November 2026.
• Kein öffentlicher Proof-of-Concept gefunden.
• In Microsofts Patch Tuesday vom November 2026 als Important mit Auswirkung Remote Code Execution aufgeführt.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst auf Hosts, die sich mit externen SQL-Servern verbinden.
• Die korrigierte Build-Version im Microsoft Security Update Guide prüfen, da die Build-Angaben von Drittanbietern nicht bestätigt sind.
• Prüfen, ob Altsysteme wie Windows 10 1607 und Windows Server 2012 noch unterstützt sind oder unter Extended Security Updates fallen.
• Ausgehende SQL-Verbindungen von Arbeitsstationen einschränken und Verbindungen zu unbekannten Datenbankendpunkten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-85838) msrc.microsoft.com
• Patch Tuesday coverage, November 2026 cybersecuritynews.com
• OffSeq threat radar (third-party, machine-generated) radar.offseq.com
• SentinelOne: CVE-2024-21359 (component context) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:59.