Microsoft SQL Server: Rechteerweiterung durch Stack-based Buffer Overflow
Zusammenfassung
Ein Stack-based Buffer Overflow (CWE-121) in Microsoft SQL Server erlaubt einem berechtigten Angreifer mit hohen Rechten, seine Privilegien über das Netzwerk zu erweitern. Bei erfolgreichem Angriff sind Vertraulichkeit, Integrität und Verfügbarkeit stark betroffen. Die Angriffskomplexität ist hoch; Ausnutzung oder ein öffentlicher Proof of Concept sind nicht gemeldet.
Betroffen
- SQL Server 2017 GDR: 14.0.0 bis vor 14.0.2140.2
- SQL Server 2017 CU31: 14.0.3006.16 bis vor 14.0.3560.2
- SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2200.2
- SQL Server 2019 CU32: 15.0.4003.23 bis vor 15.0.4500.2
- SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1210.3
- SQL Server 2022 CU27: 16.0.4003.1 bis vor 16.0.4305.5
- SQL Server 2025 CU9: 17.0.4006.2 bis vor 17.0.5015.4
- SQL Server 2025 GDR: 17.0.1050.2 bis vor 17.0.1145.4
Behoben in
- SQL Server 2017 GDR: KB5128497
- SQL Server 2017 CU31: KB5128496
- SQL Server 2019 GDR: KB5128495
- SQL Server 2019 CU32: KB5128494
- SQL Server 2022 GDR: KB5128493
- SQL Server 2022 CU27: KB5126934
- SQL Server 2025 CU9: KB5126967
- SQL Server 2025 GDR: KB5128492
- KB-Nummern und korrigierte Builds vor dem Rollout im MSRC-Advisory prüfen.
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt.
- Laut Stand 13. Oktober 2026 nicht im CISA-KEV-Katalog (nicht live geprüft).
- Öffentlicher Proof of Concept: unbekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Für jeden eingesetzten SQL-Server-Zweig das Oktober-2026-GDR- bzw. CU-Update installieren, zuerst bei aus dem Internet erreichbaren oder gemeinsam genutzten Instanzen.
- Alle SQL-Server-Instanzen und deren Build-Nummern inventarisieren.
- Konten mit hohen Rechten überprüfen und den Netzwerkzugriff auf den SQL-Server-Port einschränken.
- Für ein bekanntes Problem mit MSDASQL-Linked-Server-Abfragen mit Provider-String (Fehler 7416) in den KBs für 2019 und 2022 planen.
- Auf ungewöhnliche Rechteänderungen und Datenbankaktivitäten achten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-96956 msrc.microsoft.com
- KB5128493: SQL Server 2022 GDR (October 2026) support.microsoft.com
- KB5128495: SQL Server 2019 GDR (October 2026) support.microsoft.com
- CVE record mirror with affected ranges (threatint) cve.threatint.com
- SQL Server vulnerabilities overview (kerteszmihaly.com) kerteszmihaly.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.