Microsoft Windows Installer: Rechteausweitung durch Link Following

Zusammenfassung

Windows Installer behandelt Dateiverknüpfungen vor dem Dateizugriff nicht korrekt (CWE-59, Link Following). Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann dies ausnutzen, um höhere Rechte auf dem System zu erlangen. Für den Angriff ist ein lokales Konto und keine Benutzerinteraktion nötig, daher besteht vor allem ein Risiko auf gemeinsam genutzten Systemen und Servern mit mehreren Benutzern. CVSS 7.8 (Hoch).

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870

Behoben in

• Das Microsoft-Sicherheitsupdate für November 2026 installieren (Patch Tuesday, veröffentlicht am 10.11.2026).
• Die oben genannten Build-Nummern sind die ersten korrigierten Builds.
• Windows Server 2025 ist im offiziellen CVE-Eintrag nicht aufgeführt. Eine Drittquelle nennt 10.0.26100.33822; vor dem Rollout im MSRC Security Update Guide überprüfen.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers bekannt. Das Update installieren.

Ausnutzung

• Der zeitliche CVSS-Vektor setzt die Reife des Exploit-Codes auf unbewiesen (E:U).
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden. Ein Bericht nennt die ausgenutzte CVE nicht, daher lässt sich dies nicht vollständig bestätigen.

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom November 2026 installieren, zuerst auf Systemen mit mehreren Benutzern, Terminal- und RDS-Servern sowie Dateiservern.
• Genaue korrigierte Builds vor dem Rollout im MSRC Security Update Guide überprüfen.
• Lokale interaktive Anmeldungen auf gemeinsam genutzten Systemen einschränken und lokale Administratorrechte reduzieren.
• Bis zur Installation auf ungewöhnliche Rechteänderungen oder Dateioperationen durch Standardbenutzer achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-105532 msrc.microsoft.com
• CVE Record CVE-2026-105532 (CVE Program) www.cve.org
• Rapid7: Patch Tuesday November 2026 analysis www.rapid7.com
• Senserva: KB5131096 summary (third-party) senserva.com
• Strix: CVE-2026-105532 (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:34.