Microsoft WDAC OLE DB provider for SQL: Heap-basierter Pufferüberlauf
Zusammenfassung
Der Microsoft WDAC OLE DB provider for SQL, eine Windows-Komponente, enthält einen heap-basierten Pufferüberlauf (CWE-122), der über das Netzwerk ausgenutzt werden kann. Gemäss der CVE-Beschreibung kann ein nicht autorisierter Angreifer Code auf betroffenen Systemen ausführen. Der CVSS-Vektor (UI:R) setzt jedoch eine Benutzerinteraktion voraus, was dem Wortlaut 'nicht autorisiert' widerspricht, und die NVD-Analyse steht noch aus.
Betroffen
- Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
- Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
- Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
- Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
- Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
- Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
- Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
- Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
- Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
- Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
- Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
- Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
Behoben in
Unbekannt. Die korrigierten Build-Nummern sind dem MSRC-Advisory zu entnehmen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Ausgehende SQL-Verbindungen (TCP 1433 und ähnliche) auf bekannte Datenbankserver beschränken.
- Anwendungen nur mit vertrauenswürdigen SQL-Servern verbinden lassen.
Ausnutzung
Unbekannt. Während der Recherche wurde weder ein KEV-Eintrag noch ein Bericht über eine Ausnutzung zu dieser CVE gefunden.
Unsere Empfehlung
- Windows-Systeme mit Datenbankclients identifizieren, insbesondere solche mit ausgehenden SQL-Verbindungen, und priorisieren.
- Das Microsoft-Sicherheitsupdate für die eigenen Builds installieren, sobald MSRC die Korrektur auflistet.
- Das MSRC-Advisory und den CISA-KEV-Katalog auf Statusänderungen überwachen und bei gemeldeter Ausnutzung eskalieren.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Microsoft WDAC OLE DB provider for SQL
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131096, KB5131090, KB5131087, KB5132061
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-88222 msrc.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.