NetEase Cloud Music für Windows: Remote Code Execution über os.navigateExternal-IPC-Bridge
Zusammenfassung
Der Windows-Desktopclient von NetEase Cloud Music (cloudmusic.exe) in den Versionen 3.1.38 und 3.1.39.205426 erlaubt Remote Code Execution. Die Renderer-IPC-Funktion os.navigateExternal übergibt URLs ohne Prüfung des URL-Schemas an ShellExecuteW, sodass eingeschleuster Inhalt über eine file://-URL lokale Dateien starten kann. Ein Angreifer muss zuerst eine Netzwerkposition zwischen Client und Update-Server einnehmen, wo eine gefälschte Update-Antwort mit einer img-onerror-Nutzlast beim Start automatisch gerendert wird. Der Code läuft danach mit den Rechten des angemeldeten Benutzers.
Betroffen
- NetEase Cloud Music für Windows 3.1.38
- NetEase Cloud Music für Windows 3.1.39.205426
- Andere Versionen: nicht bestätigt als betroffen oder nicht betroffen.
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.
Umgehung
- Netzwerkzugriff des Clients einschränken oder blockieren, bis eine korrigierte Version verfügbar ist.
- cloudmusic.exe auf Geschäftsgeräten deinstallieren oder blockieren.
- Den Client nicht auf Firmenlaptops verwenden, die in öffentlichen oder unsicheren Netzwerken eingesetzt werden.
Ausnutzung
- Öffentlicher Exploit: laut VulDB nicht gefunden.
- In freier Wildbahn ausgenutzt: nicht bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Der Angriff erfordert eine Netzwerkposition (zum Beispiel rogue WLAN oder MITM).
Unsere Empfehlung
- Alle Windows-Endgeräte auf NetEase Cloud Music 3.1.38 und 3.1.39.205426 prüfen.
- Den Client auf Geschäftsgeräten deinstallieren oder blockieren, bis NetEase eine korrigierte Version veröffentlicht.
- Den Client nicht in öffentlichen oder unsicheren Netzwerken verwenden.
- Den NVD-Eintrag und die VulnCheck-Warnung auf Aktualisierungen prüfen, da der NVD-Status noch auf Deferred steht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- VulDB entry 417211 vuldb.com
- OpenCVE CVE-2026-109422 app.opencve.io
- Public technical gist gist.github.com
- Vulners Rapid7 record vulners.com
- HOL Guard CVE page hol.org
- CraftedSignal brief feed.craftedsignal.io
- NetEase product page hr.163.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.