Microsoft Windows Remote Desktop Client: Informationsoffenlegung durch Out-of-bounds-Read

Zusammenfassung

Der Windows Remote Desktop Client enthält einen Out-of-bounds-Read (CWE-125), der einem nicht autorisierten Angreifer über das Netzwerk das Auslesen von Speicherteilen ermöglicht. Der Angreifer benötigt keine vorgängigen Zugangsdaten, der Benutzer muss jedoch dazu gebracht werden, sich mit einem bösartigen oder vom Angreifer kontrollierten RDP-Endpunkt zu verbinden. Die Auswirkung beschränkt sich auf die Vertraulichkeit (CVSS 3.1: 6.5, mittel).

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016 und 2019 (inkl. Server Core)
• Microsoft Windows App Client for Windows Desktop vor 2.0.1489.0
• Genaue betroffene Build-Bereiche: siehe Microsoft Security Update Guide. Die Quellen unterscheiden sich bei einzelnen Build-Nummern, daher vor dem Rollout überprüfen.

Behoben in

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2, 25H2 und 26H2: 10.0.26100.9974 / 10.0.26200.9974 / 10.0.26300.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows App Client for Windows Desktop: 2.0.1489.0
• Die Korrekturen werden mit den Updates vom November 2026 (Patch Tuesday) bereitgestellt.

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Das Einspielen des Updates ist die empfohlene Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Rapid7 stuft die Ausnutzung als unwahrscheinlich ein und meldet keine öffentliche Offenlegung.
• Es wurde kein öffentlicher Proof of Concept gefunden. Dies ist kein bestätigtes Fehlen.
• Der EPSS-Wert lag laut einer Drittquelle bei etwa 0.009, was auf eine geringe vorhergesagte Ausnutzung hinweist.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.

Unsere Empfehlung

• Das kumulative Update vom November 2026 in die reguläre Patch-Verwaltung aller Windows-Clients aufnehmen, inklusive Windows-App-Installationen.
• Arbeitsstationen priorisieren, die RDP zu externen oder fremden Hosts verwenden.
• Die Liste der betroffenen Builds mit dem eigenen Inventar abgleichen und die Builds auf der MSRC-Seite überprüfen.
• Aus dem Internet erreichbare RDP-Server bergen eigene, separate Risiken, die durch diese CVE nicht verändert werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108417 msrc.microsoft.com
• CVE Record CVE-2026-108417 (CVE.org) www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-108417 www.strix.ai
• OffSeq Radar: CVE-2026-108417 radar.offseq.com
• VULNERS EUVD-2026-99475 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:37.