CERT-Bund hat in der Sicherheitsberatung WID-SEC-2026-3917 mehrere kritische Schwachstellen im Microsoft SQL Server 2017, 2019 und 2022 beschrieben. Demnach kann ein Angreifer die Lücken ausnutzen, um Administratorrechte zu erlangen, beliebigen Code auszuführen, vertrauliche Daten offenzulegen oder einen Denial-of-Service-Angriff zu initiieren.
Betroffene Produkte und technische Details
Die betroffenen Produkte umfassen die drei genannten Versionen des Datenbankmanagementsystems, das in zahlreichen Unternehmensumgebungen eingesetzt wird. Die Schwachstellen betreffen sowohl die Netzwerkkommunikation als auch lokale Komponenten.
Der Angreifer kann über privilegierte Konten Systembefehle starten und damit die Kontrolle über die Datenbankinstanz übernehmen. Dies kann zu einer vollständigen Kompromittierung der gespeicherten Daten führen.
Mögliche Auswirkungen
Durch das Einschleusen von schädlichem Code kann beliebiger Code auf dem Server ausgeführt werden. Die Möglichkeit, vertrauliche Informationen zu extrahieren, stellt ein erhebliches Risiko für den Schutz personenbezogener und geschäftskritischer Daten dar.
Ein weiterer Effekt ist die potenzielle Unterbrechung des Dienstes. Durch gezielte Aktionen kann ein Denial-of-Service-Angriff ausgelöst werden, der die Verfügbarkeit der Datenbank für legitime Nutzer beeinträchtigt.
Empfohlene Gegenmaßnahmen
Die CERT-Bund empfiehlt allen Betreibern, die betroffenen SQL Server-Versionen umgehend zu patchen und die von Microsoft bereitgestellten Sicherheitspatches zu installieren. Zusätzlich sollten Netzwerkfilterungen und Zugriffsrechte überprüft werden, um unautorisierte Zugriffe zu verhindern.
Nutzer, die bereits Anzeichen einer Kompromittierung feststellen, sollten die Vorfälle gemäß den internen Sicherheitsrichtlinien untersuchen und gegebenenfalls forensische Analysen durchführen. Weitere Informationen und technische Details sind in der vollständigen Advisory verfügbar.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung