Microsoft Windows SSTP: Use-after-free führt zur lokalen Rechteerweiterung

Zusammenfassung

Eine Use-after-Free-Schwachstelle (CWE-416) in der Windows-Komponente Secure Socket Tunneling Protocol (SSTP) erlaubt einem berechtigten Angreifer, seine Rechte auf dem lokalen System zu erweitern. Der Angreifer benötigt ein bestehendes Konto mit niedrigen Rechten auf dem betroffenen Gerät, und die Ausnutzung wird als komplex eingestuft. SSTP wird für VPN-Tunnel verwendet, weshalb Server als SSTP-VPN-Endpunkte besonders gefährdet sind.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Hinweis: Drittanbieter-Tracker nennen weitere Bereiche (z. B. Windows Server 2025), die nicht verifiziert sind. Die massgebliche Liste findet sich im MSRC-Eintrag.

Behoben in

• Sicherheitsupdates von Microsoft vom 10. November 2026 (die Builds oben sind die jeweils ersten korrigierten Versionen)
• Spezifische KB-Nummern: Unbekannt.

Umgehung

• Keine vom Hersteller genannte Workaround-Massnahme gefunden. Das Einspielen des Patches ist die Behebung.
• Übergangsmassnahme (für diese CVE nicht bestätigt): Den SSTP-Dienst auf Servern deaktivieren, auf denen er nicht benötigt wird.

Ausnutzung

• Aktive Ausnutzung: In den geprüften Quellen nicht gefunden. Der Katalog KEV der CISA wurde nicht geprüft.
• Öffentlicher Proof of Concept: Nicht gefunden.
• CVSS-Exploit-Reifegrad: Unbewiesen (E:U).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Die Sicherheitsupdates von Microsoft vom 10. November 2026 auf allen betroffenen Windows-Clients und -Servern installieren; Server mit SSTP-VPN-Endpunkten (inkl. RRAS und Always On VPN) haben Priorität.
• Wo SSTP nicht benötigt wird, den Dienst bis zur Installation des Patches deaktivieren.
• Die genauen betroffenen Builds im Microsoft Security Update Guide prüfen, da Drittanbieter-Listen abweichen.
• Lokale Konten überprüfen und Anmelderechte einschränken, da die Ausnutzung ein bestehendes Konto mit niedrigen Rechten voraussetzt.
• Auf SSTP-Servern ungewöhnliche Rechteänderungen und Prozessaktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105510 msrc.microsoft.com
• CVE.org record CVE-2026-105510 www.cve.org
• VulDB entry CVE-2026-105510 vuldb.com
• Richard Hicks: Always On VPN security updates, November 2026 directaccess.richardhicks.com
• Strix.ai CVE-2026-105510 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:46.