Windows Subsystem for Linux: Link Following führt zu lokaler Rechteausweitung

Zusammenfassung

Eine unzureichende Auflösung von Links vor dem Dateizugriff (CWE-59) im Windows Subsystem for Linux (WSL2) erlaubt einem lokalen Benutzer mit niedrigen Rechten eine Rechteausweitung. Laut CNA-Eintrag beträgt der CVSS-3.1-Wert 7.8 mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; eine Rechteausweitung bis SYSTEM wird berichtet. Ein Angreifer benötigt ein bestehendes lokales Konto auf dem betroffenen Gerät und keine Benutzerinteraktion; die Schwachstelle ist nicht aus dem Internet erreichbar. Gemeinsam genutzte PCs und Entwickler-Arbeitsstationen mit WSL sind am stärksten gefährdet.

Betroffen

• Microsoft Windows Subsystem for Linux (WSL2) gemäss CNA-Eintrag: "5.0.0.0" bis kleiner als 3.0.1
• Die untere Grenze 5.0.0.0 scheint ein Datenfehler zu sein und ist nicht bestätigt. Den betroffenen Bereich im MSRC-Advisory überprüfen.

Behoben in

• Version 3.0.1 gemäss CNA-Eintrag und einer Sekundärquelle; noch nicht im MSRC-Advisory bestätigt.
• Neueste Version zum Zeitpunkt der Recherche: WSL 3.0.4 (veröffentlicht am 17. Oktober 2026).

Umgehung

Unbekannt. In den Quellen wurde kein Workaround gefunden; das Einspielen des Patches ist die Behebung.

Ausnutzung

• Tag der Veröffentlichung (13. Oktober): VulDB bewertete die Ausnutzung als einfach, technische Details unbekannt, kein öffentlicher Exploit.
• RadioCSIRT meldet eine Aufnahme in den CISA-KEV-Katalog am 20. Oktober; dies ist nicht am KEV-Katalog verifiziert.
• CISA-SSVC-Bewertung im CNA-Eintrag: Ausnutzung keine, automatisierbar nein.
• Kein öffentlicher Proof of Concept gefunden. Bis zur Prüfung des KEV-Eintrags als möglicherweise aktiv ausgenutzt behandeln.

Unsere Empfehlung

• Alle WSL-Installationen und deren Versionen auf Client-Endgeräten inventarisieren.
• Die neueste WSL-Version gemäss Empfehlung von Microsoft installieren und den korrigierten Build im MSRC-Advisory bestätigen.
• Entwickler-Arbeitsstationen, gemeinsam genutzte PCs und Systeme mit mehreren Benutzern priorisieren.
• Vor dem Patchen die Diagnoseinformationen aus dem WSL-Verwaltungsbildschirm sichern und bei Verdacht auf eine Kompromittierung auf Spuren früherer Missbräuche prüfen.
• Den CISA-KEV-Katalog auf CVE-2026-102204 prüfen und auf weitere Advisories achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-102204 msrc.microsoft.com
• Vulners CVE List record: CVE-2026-102204 vulners.com
• VulDB: CVE-2026-102204 vuldb.com
• RadioCSIRT newsletter 69 radiocsirtenglishedition.substack.com
• Wilders Security: Microsoft October/November security updates www.wilderssecurity.com
• Versio: Windows Subsystem for Linux release information www.versio.io
• The Windows Update: CVE-2026-102204 thewindowsupdate.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 05:16.