Microsoft Windows Server DNS: Informationspreisgabe durch Lesezugriff ausserhalb des Speicherbereichs

Zusammenfassung

Die DNS-Serverrolle von Microsoft Windows Server 2016, 2019, 2022 und 2025 enthält einen Lesezugriff ausserhalb des Speicherbereichs, durch den Speicherinhalte offengelegt werden können. Ein netzwerkbasierter Angreifer ohne Berechtigungen und ohne Benutzerinteraktion kann Speicher des DNS-Server-Dienstes auslesen, aber weder Daten verändern noch den Dienst stören. Laut Microsoft setzt die Ausnutzung zusätzlich voraus, dass die Protokollierung von DNS-Paketen im Debug-Modus aktiviert ist, was standardmässig nicht der Fall ist; Microsoft stuft die Angriffskomplexität als hoch ein.

Betroffen

• Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 vor 10.0.26100.33822 (von einem Drittanbieter-Aggregator übernommen, noch nicht im MSRC-Advisory verifiziert)
• Windows-Client-Editionen: Unbekannt.

Behoben in

• Builds 10.0.14393.9688, 10.0.17763.9487, 10.0.20348.5870 oder neuer, verteilt mit dem Sicherheitsupdate vom November 2026.
• Windows Server 2025: Behobener Build muss im MSRC-Advisory bestätigt werden.
• Knowledge-Base-Artikelnummern: siehe MSRC-Advisory.

Umgehung

• Laut Microsoft setzt die Ausnutzung die Protokollierung von DNS-Paketen im Debug-Modus voraus. Prüfen Sie, ob sie aktiviert ist, und deaktivieren Sie sie, falls sie nicht benötigt wird. Dies ist eine Ableitung und sollte mit der Anleitung von Microsoft bestätigt werden.
• Beschränken Sie den Netzwerkzugriff auf DNS-Server auf die Clients, die sie benötigen.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als unbewiesen ein (E:U).
• Während der Recherche wurden kein öffentlicher Exploit, keine Ausnutzung in freier Wildbahn und kein Eintrag im CISA-KEV-Katalog gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Rapid7 führt die CVE als Exploitation Less Likely.

Unsere Empfehlung

• Installieren Sie das Sicherheitsupdate vom November 2026 im normalen Patch-Zyklus auf allen DNS-Servern mit Windows Server.
• Prüfen Sie jetzt, ob die Protokollierung von DNS-Paketen im Debug-Modus aktiviert ist, und deaktivieren Sie sie, wo sie nicht benötigt wird.
• Priorisieren Sie DNS-Server, die aus dem Internet erreichbar sind oder bei denen die Debug-Protokollierung aktiviert ist.
• Erfassen Sie alle Server mit DNS-Rolle, einschliesslich Domänencontroller.
• Überwachen Sie CISA KEV und NVD auf Änderungen beim Ausnutzungsstatus.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-108425 msrc.microsoft.com
• CVE Record: CVE-2026-108425 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-108425 (third-party, unverified affected versions) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:31.