Windows UDFS-Treiber: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Universal Disk Format File System Driver (UDFS) erlaubt einem berechtigten lokalen Angreifer eine Rechteausweitung. Der Angreifer benötigt zuerst eine Anmeldung mit niedrigen Privilegien auf dem System, zum Beispiel über einen Phishing-Angriff auf einen Benutzer oder Schadsoftware, die als Standardbenutzer läuft. Die Schwachstelle ist aus dem Internet nicht erreichbar. Der CVSS-3.1-Basiswert beträgt 7.8 (hoch).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (inkl. Server Core)
• Windows Server 2016
• Windows Server 2019, 2022 und 2025 (laut Sekundärquellen, nicht im CNA-Eintrag)

Hinweis: Der CPE-Eintrag in der NVD nennt nur Windows 10 1607.

Behoben in

Behoben in den Microsoft-Sicherheitsupdates vom 13. Oktober 2026 (Patch Tuesday). Die Build-Nummern der behobenen Versionen stehen im Abschnitt betroffene Versionen, sind aber noch nicht gegen die MSRC-Warnmeldung bestätigt. Unbekannt: der genaue behobene Build für Windows 10 1607 und Server 2016 (vermutlich KB5126868).

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround- oder Schutzmassnahme dokumentiert. Das Einspielen des Patches ist die erwartete Behebung.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: nicht bestätigt. Der Status im CISA-KEV-Katalog ist unklar und muss direkt bei CISA geprüft werden.
• Öffentlicher Proof-of-Concept-Exploit: nicht gefunden (es wurde keine gezielte Suche durchgeführt).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS-Wert: 0.00318 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Die Sicherheitsupdates vom Oktober 2026 auf allen betroffenen Systemen installieren, zuerst auf Windows-10-1607- und Server-2016-Systemen sowie auf Mehrbenutzersystemen, Terminalservern und Remote-Desktop-Hosts.
• Die behobenen Build-Nummern vor dem Vertrauen gegen die MSRC-Warnmeldung prüfen.
• Prüfen, ob Systeme mit 1607 und Server 2016 noch unterstützt und im Einsatz sind; falls nicht, ersetzen.
• Lokale Anmeldungen auf gemeinsam genutzten Systemen einschränken und auf ungewöhnliche Rechteänderungen überwachen.
• Die Nutzung unbekannter ISO-Dateien und optischer oder Wechselmedien als allgemeine Härtungsmassnahme einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-102205 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-102205 vulners.com
• CNA affected products (Vulners): CVE-2026-102205 vulners.com
• Affected ranges and CVSS vector (Strix) www.strix.ai
• Update listings (Vulners EUVD-2026-100360) vulners.com
• Tenable plugin for KB5126868 (Windows 10 1607) www.tenable.com
• Tenable plugin for KB5126657 (KEV date, scope unclear) www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 05:16.