Microsoft Windows COM: Lokale Rechteerweiterung durch Freigabe eines ungültigen Zeigers

Zusammenfassung

Die Windows-COM-Komponente von Microsoft enthält eine Schwachstelle, bei der ein ungültiger Zeiger oder eine ungültige Referenz freigegeben wird (CWE-763). Die NVD führt zusätzlich CWE-122 (heap-basierter Pufferüberlauf), was im MSRC-Advisory geprüft werden sollte. Ein berechtigter lokaler Angreifer mit niedrigen Rechten kann die Schwachstelle zur Rechteerweiterung nutzen, potenziell bis zur vollständigen Kontrolle über das System. Die Ausnutzung erfordert eine hohe Komplexität und einen bestehenden Zugriff auf das System; die Schwachstelle ist nicht über das Netzwerk erreichbar.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Behoben in den Builds aus den oben genannten Herstellerbereichen (die offizielle CVE-Liste ist für spätere Versionen unvollständig; jeden Build in der Tabelle Security Updates im MSRC prüfen).
• Laut einem Drittanbieterbericht hat Microsoft Korrekturen veröffentlicht; KB-Artikelnummern wurden nicht verifiziert.

Umgehung

Unbekannt. Für diese CVE wurde kein Workaround gefunden; das Einspielen des Patches ist die Massnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Die CVSS-Temporal-Metriken deuten zum Zeitpunkt der Veröffentlichung auf keinen bekannten Exploit-Code (E:U) und eine hohe Berichtssicherheit (RC:C) hin.
• Zum Zeitpunkt der Recherche wurden kein Eintrag im CISA KEV, kein öffentlicher Proof of Concept und keine aktive Ausnutzung gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf gemeinsam genutzten Systemen wie Remote-Desktop- oder Terminal-Servern.
• Für jedes System in der Tabelle Security Updates im MSRC den exakt benötigten Build prüfen.
• Prüfen, ob ältere Builds (1607, 1809, Server 2016) noch unterstützt sind; falls nicht, Upgrades planen.
• Interaktive Anmeldungen auf nötige Benutzer beschränken und ungewöhnliche Rechteänderungen überwachen.
• Vor dem nächsten Review-Zyklus den CISA KEV und öffentliche Exploit-Quellen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105533 msrc.microsoft.com
• CVE.org record CVE-2026-105533 www.cve.org
• Strix CVE-2026-105533 (third-party tracker) www.strix.ai
• Mallory write-up (third-party, weak evidence) mallory.ai
• Rescana: Patch Tuesday November 2026 analysis www.rescana.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:42.