Microsoft QUIC: Integer-Unterlauf führt zu Denial of Service

Zusammenfassung

Ein Integer-Unterlauf (CWE-191) in Microsoft QUIC, dem QUIC-Transport-Stack in Windows, erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, einen Denial of Service auszulösen. Für den Angriff genügt Netzwerkzugriff auf ein System, das QUIC-Verkehr akzeptiert; Berechtigungen oder Benutzerinteraktion sind nicht nötig. Die Auswirkung beschränkt sich auf die Verfügbarkeit; ein Verlust von Vertraulichkeit oder Integrität wird nicht gemeldet.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822
• Windows 10 und ältere Windows-Server-Versionen: Unbekannt.

Behoben in

• Das Windows-Sicherheitsupdate des Patch Tuesday vom November 2026 (veröffentlicht am 10. November 2026) oder neuer installieren.
• Korrigierte Builds: Windows 11 23H2 10.0.22631.7711; 24H2 10.0.26100.9974; 25H2 10.0.26200.9974; 26H1 10.0.28000.3501; 26H2 10.0.26300.9974; Windows Server 2022 10.0.20348.5870; Windows Server 2025 10.0.26100.33822.

Umgehung

• Kein Workaround des Herstellers gefunden. Status: unbekannt.
• Falls QUIC oder HTTP/3 nicht benötigt wird, eingehenden UDP/443 am Perimeter blockieren. Dies ist keine Empfehlung von Microsoft; die Auswirkungen auf Ihre Dienste sind vorab zu prüfen.

Ausnutzung

• In den geprüften Quellen wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
• In den geprüften Quellen nicht im CISA-KEV-Katalog gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf betroffenen Windows-11- und Windows-Server-Systemen im regulären Patch-Zyklus installieren; internetexponierte Server priorisieren.
• Prüfen, ob QUIC (UDP/443) aus dem Internet erreichbar ist, und dies einschränken, wo es nicht benötigt wird.
• Betroffene Systeme auf unerwartete Abstürze oder Verfügbarkeitsprobleme überwachen.
• Die Liste der betroffenen Produkte vor dem Handeln anhand des MSRC-Advisory überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-105512 www.cve.org
• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• Strix AI CVE details (product and version list, unverified) www.strix.ai
• Rapid7 Patch Tuesday November 2026 review www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:13.