CVE-2026-40370: Выполнение произвольного кода в Microsoft SQL Server 2025 (GDR)

Выполнение произвольного кода в Microsoft SQL Server 2025 (GDR)

Содержание

Уязвимое программное обеспечение
Последствия эксплуатации
Common Vulnerability Scoring System
Метод эксплуатации
Уменьшение последствий
Common Weakness Enumeration
Ссылки

Уязвимое программное обеспечение

Microsoft SQL Server 2025 (GDR): до 17.0.1115.1

Microsoft SQL Server 2022 (GDR): до 16.0.1180.1

Microsoft SQL Server 2019 (CU 32): до 15.0.4470.1

Microsoft SQL Server 2016 Service Pack 3 Azure Connect Feature Pack: до 13.0.7085.1

Microsoft SQL Server 2017 (CU 31): до 14.0.3530.2

Microsoft SQL Server 2016 Service Pack 3 (GDR): до 13.0.6490.1

Microsoft SQL Server 2019 (GDR): до 15.0.2170.1

Microsoft SQL Server 2017 (GDR): до 14.0.2110.2

Microsoft SQL Server 2022 (CU 24): до 16.0.4252.3

Microsoft SQL Server 2025 (CU4): до 17.0.4040.1

Последствия эксплуатации

ACE: Выполнение произвольного кода

Common Vulnerability Scoring System

Рейтинг: ВЫСОКИЙ
Оценка: 8.8
Вектор: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Вектор атаки: Сетевой
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Границы эксплуатации: Неизменный
Влияние на Конфиденциальность: Высокая
Влияние на Целостность: Высокая
Влияние на Доступность: Высокая

Метод эксплуатации

Манипулирование ресурсами.
Взаимодействие с пользователем: Отсутствует

Уменьшение последствий

Данная уязвимость устраняется официальным патчем вендора.
Наличие обновления: Есть

Common Weakness Enumeration

CWE: CWE-73
Описание: Внешнее управление именем или путем файла