WCH CH341SER-Treiberinstallation: DLL-Hijacking ermöglicht Rechteausweitung
Zusammenfassung
Das Setup-Paket CH341SER.EXE in Version 4.0 des USB-zu-Seriell-Treibers für CH340/CH341 unter Windows enthält eine lokale Rechteausweitung. Die erhöhte Installationskomponente DRVSETUP64.EXE lädt DLLs aus einem Verzeichnis, das Standardbenutzer beschreiben können. Dadurch könnte ein lokaler Benutzer mit niedrigen Rechten während der Installation Code mit den Rechten des erhöhten Installationsprozesses ausführen. Voraussetzungen sind ein lokales Benutzerkonto, ein beschreibbares Staging-Verzeichnis und die Bestätigung der normalen UAC-Abfrage. Ein öffentlicher Proof of Concept ist verfügbar.
Betroffen
- CH341SER.EXE Version 4.0 (in Tests bestätigt)
- Andere Versionen: Unbekannt.
Behoben in
Unbekannt. Es wurde kein Herstellerfix bestätigt.
Umgehung
- Prüfen, ob C:\WCH.CN\CH341SER existiert und ob Standardbenutzer darin schreiben können.
- Den extrahierten Installationsordner nach der Installation entfernen.
- Die lokale Anmeldung auf betroffenen Geräten einschränken und das Least-Privilege-Prinzip anwenden.
Ausnutzung
- Öffentlicher Proof of Concept auf GitHub.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog.
- CISA SSVC: Ausnutzung per PoC, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Systeme mit CH340/CH341-Treiberinstallationen inventarisieren.
- Die Gegenmassnahme jetzt umsetzen und WCH sowie NVD auf eine korrigierte Version und den finalen Score überwachen.
- DLL-Ladevorgänge aus benutzerschreibbaren Pfaden im Treiberverzeichnis überwachen (EDR oder Sysmon).
- Die Priorität für gemeinsam genutzte oder nicht verwaltete Arbeitsstationen erhöhen, die von Nicht-Administratoren verwendet werden.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
tanuj8124/CVE-2026-106781
Quellen der Recherche
- GitHub: CVE-2026-106781 researcher write-up and PoC repository github.com
- WCH download page for CH341SER.EXE www.wch-ic.com
- VulDB: CVE-2026-106781 vuldb.com
- OpenCVE: CVE-2026-106781 app.opencve.io
- OffSeq Radar: CVE-2026-106781 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.