-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in Microsoft SQL Server Advisory ID : NCSC-2026-0476 Versie : 1.00 Kans : medium CVE ID : CVE-2026-45478, CVE-2026-62903, CVE-2026-66813, CVE-2026-67372, CVE-2026-67374, CVE-2026-67382, CVE-2026-67387, CVE-2026-67391, CVE-2026-67632, CVE-2026-67637, CVE-2026-67646, CVE-2026-68783, CVE-2026-69893, CVE-2026-70003, CVE-2026-84010, CVE-2026-88111, CVE-2026-94511, CVE-2026-94513, CVE-2026-116929, CVE-2026-116930, CVE-2026-116931, CVE-2026-116932, CVE-2026-116933, CVE-2026-116934, CVE-2026-116935, CVE-2026-116936, CVE-2026-116937, CVE-2026-116938, CVE-2026-116939, CVE-2026-116940, CVE-2026-116941, CVE-2026-116942, CVE-2026-116943, CVE-2026-116944, CVE-2026-116945, CVE-2026-116946, CVE-2026-116947, CVE-2026-118102, CVE-2026-118103, CVE-2026-118104, CVE-2026-118105, CVE-2026-118106, CVE-2026-118108, CVE-2026-118109, CVE-2026-118110, CVE-2026-118111, CVE-2026-118112, CVE-2026-118113, CVE-2026-118114, CVE-2026-118115, CVE-2026-118116, CVE-2026-118117, CVE-2026-118118, CVE-2026-118119, CVE-2026-118120 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Limitation of a Pathname to a Restricted Directory Improper Neutralization of Special Elements used in a Command Improper Neutralization of Special Elements used in an SQL Command Improper Control of Generation of Code Stack-based Buffer Overflow Heap-based Buffer Overflow Out-of-bounds Read Buffer Over-read Execution with Unnecessary Privileges Incorrect Privilege Assignment Authentication Bypass by Capture-replay Use of a Broken or Risky Cryptographic Algorithm Origin Validation Error Improper Verification of Cryptographic Signature Exposed Dangerous Method or Function Untrusted Pointer Dereference Use of Uninitialized Resource Uitgiftedatum : 20261110 Toepassing : Microsoft Microsoft JDBC Driver 13.4 for SQL Server Microsoft Microsoft SQL Server 2017 for x64-based Systems (CU31) Microsoft Microsoft SQL Server 2017 for x64-based Systems (GDR) Microsoft Microsoft SQL Server 2019 for x64-based Systems (CU32) Microsoft Microsoft SQL Server 2019 for x64-based Systems (GDR) Microsoft Microsoft SQL Server 2022 for x64-based Systems (CU27) Microsoft Microsoft SQL Server 2022 for x64-based Systems (GDR) Microsoft Microsoft SQL Server 2025 for x64-based Systems (CU10) Microsoft Microsoft SQL Server 2025 for x64-based Systems (CU9) Microsoft Microsoft SQL Server 2025 for x64-based Systems (GDR) Microsoft Microsoft SQL Server Integration Services on Windows Microsoft Microsoft.Data.SqlClient 6.1 Microsoft Microsoft.Data.SqlClient 7.0 Microsoft Microsoft.Data.SqlClient 7.1 Microsoft azurefile-csi-driver Versie(s) : Platform(s) : Beschrijving Microsoft heeft 55 kwetsbaarheden verholpen in diverse componenten van SQL Server. Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit te voeren die kunnen leiden tot de categorieën schade zoals benoemd in onderstaande tabel. De kwetsbaarheid met kenmerk CVE-2026-116945, heeft een CVSS-score van 9.8 en betreft een heap-based buffer overflow in Microsoft SQL Server. Een ongeautoriseerde kwaadwillende die controle heeft over een netwerkeindpunt waarmee een kwetsbaar integratiepakket verbinding maakt, kan een speciaal geprepareerd antwoord terugsturen. Wanneer het integratiepakket dit antwoord verwerkt, kan de kwaadwillende willekeurige code uitvoeren met de rechten van de integratieservice. ``` SQL Server: |------------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |------------------|------|-------------------------------------| | CVE-2026-116929 | 7,50 | Verkrijgen van verhoogde rechten | | CVE-2026-116930 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-116931 | 7,50 | Uitvoeren van willekeurige code | | CVE-2026-116932 | 6,50 | Toegang tot gevoelige gegevens | | CVE-2026-116933 | 7,20 | Uitvoeren van willekeurige code | | CVE-2026-116934 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-116935 | 6,50 | Toegang tot gevoelige gegevens | | CVE-2026-116936 | 7,20 | Uitvoeren van willekeurige code | | CVE-2026-116937 | 7,50 | Uitvoeren van willekeurige code | | CVE-2026-116938 | 7,50 | Uitvoeren van willekeurige code | | CVE-2026-116939 | 5,70 | Toegang tot gevoelige gegevens | | CVE-2026-116940 | 4,90 | Toegang tot gevoelige gegevens | | CVE-2026-116941 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-116942 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-116943 | 7,50 | Toegang tot gevoelige gegevens | | CVE-2026-116944 | 7,20 | Verkrijgen van verhoogde rechten | | CVE-2026-116945 | 9,80 | Uitvoeren van willekeurige code | | CVE-2026-116946 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-116947 | 7,50 | Uitvoeren van willekeurige code | | CVE-2026-118102 | 5,90 | Toegang tot gevoelige gegevens | | CVE-2026-118103 | 6,50 | Toegang tot gevoelige gegevens | | CVE-2026-118104 | 6,50 | Toegang tot gevoelige gegevens | | CVE-2026-118105 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-118106 | 8,10 | Uitvoeren van willekeurige code | | CVE-2026-118108 | 7,50 | Verkrijgen van verhoogde rechten | | CVE-2026-118109 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-118110 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-118111 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118112 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118113 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118114 | 7,50 | Verkrijgen van verhoogde rechten | | CVE-2026-118115 | 7,50 | Verkrijgen van verhoogde rechten | | CVE-2026-118116 | 7,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118117 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118118 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118119 | 8,00 | Verkrijgen van verhoogde rechten | | CVE-2026-118120 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-45478 | 7,80 | Verkrijgen van verhoogde rechten | | CVE-2026-62903 | onb. | Toegang tot gevoelige gegevens | | CVE-2026-66813 | 8,10 | Verkrijgen van verhoogde rechten | | CVE-2026-67372 | onb. | Uitvoeren van willekeurige code | | CVE-2026-67374 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-67382 | 6,50 | Toegang tot gevoelige gegevens | | CVE-2026-67387 | 8,80 | Verkrijgen van verhoogde rechten | | CVE-2026-67391 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-67632 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-67637 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-67646 | onb. | Uitvoeren van willekeurige code | | CVE-2026-68783 | onb. | Toegang tot gevoelige gegevens | | CVE-2026-84010 | 7,50 | Verkrijgen van verhoogde rechten | | CVE-2026-88111 | 7,50 | Uitvoeren van willekeurige code | | CVE-2026-94511 | 8,80 | Uitvoeren van willekeurige code | | CVE-2026-94513 | 8,00 | Verkrijgen van verhoogde rechten | |------------------|------|-------------------------------------| JDBC Driver for SQL Server: |------------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |------------------|------|-------------------------------------| | CVE-2026-70003 | 8,70 | Omzeilen van beveiligingsmaatregel | |------------------|------|-------------------------------------| Microsoft Azure Kubernetes Service: |------------------|------|-------------------------------------| | CVE-ID | CVSS | Impact | |------------------|------|-------------------------------------| | CVE-2026-69893 | onb. | Verkrijgen van verhoogde rechten | |------------------|------|-------------------------------------| ``` Mogelijke oplossingen Microsoft heeft updates beschikbaar gesteld waarmee de beschreven kwetsbaarheden worden verholpen. We raden u aan om deze updates te installeren. Meer informatie over de kwetsbaarheden, de installatie van de updates en eventuele work-arounds vindt u op: https://portal.msrc.microsoft.com/en-us/security-guidance Referenties: Reference https://portal.msrc.microsoft.com/en-us/security-guidance Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmrzeJwACgkQgupWoL0Z hGHnJAwAjvk3IhOiIrGJUgqeDMZI3CQL7CMGw9sh5jDO7bsy1fvA3oOB+85JvRSm z7UNzW4Jla6rHRyZ7uwTf1cqRXtiG6nR/HogAS3tro0JqvEDil+wJJd7m9gmyx80 NGqYB7LnhvbS/E2UQVz5sZD2IMejPlC+6ync1a0wrTtR0nN2ouNki95Sczfx/waR z+ykh/Y3zTEVbKpel0UGAo6podp6bsOtzL6eY35l94zDA7gFWQPOVAkjy7/ZMjH8 WsCVRznHiGYg5ASvoNnZXVZBJ3icNdJJM9VG9HPU/R9kmikcMY3uLxAbCB3GEBGa 6sOLa0asy4bjMQ9c9BhFSKQN+p//vmcZ87S4ms5ovz2JoLKgA+Y7v8XkEFpfkCwW MEOtGr9TNhZzLKGAgFV0JfTug7sHFr9+HeAR4j4ZsydEKmtyoxbiJXXsMwSBpaDX 240yl6i7br4KBw0o0eGSGZJtUKQmVymhIfzgjARIigNKvO91tPTjjn85fbUS7JH8 ydKwihDU =FGH6 -----END PGP SIGNATURE-----