Entra Private Network Connector: Informationsoffenlegung
Zusammenfassung
Der Microsoft Entra Private Network Connector, die lokale Komponente für Microsoft Entra Private Access, enthält eine Schwachstelle, durch die sensible Informationen unberechtigten Akteuren offengelegt werden (CWE-200). Ein lokaler Angreifer mit niedrigen Berechtigungen auf dem Connector-Host kann Informationen einsehen; laut Advisory von Microsoft können dies auch Zugangsdaten sein. Die Schwachstelle ist nicht aus der Ferne ausnutzbar und setzt keine Internetexponierung voraus. Es sind keine Ausnutzung und kein öffentlicher Proof of Concept bekannt.
Betroffen
- Microsoft Entra Private Network Connector 1.5.4892.0 bis unter 1.5.5130.0
Behoben in
- Version 1.5.5130.0 oder neuer
- Veröffentlicht mit dem Patch Tuesday im November 2026. Der KB-Artikel und der Download sind auf der MSRC-Seite verlinkt; hier nicht geprüft.
Umgehung
Unbekannt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Proof of Concept gefunden; öffentliche Offenlegung wird mit Nein angegeben.
Unsere Empfehlung
- Alle Entra Private Network Connector-Hosts auf 1.5.5130.0 oder neuer aktualisieren; KB-Artikel und Download vorher auf der MSRC-Seite prüfen.
- Lokale Anmeldung auf Connector-Hosts auf Administratoren beschränken und die Hosts als sensible Server behandeln.
- Connector-Version im Asset-Inventar erfassen und prüfen, ob automatische Updates aktiviert sind.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-109460 msrc.microsoft.com
- CVE Record: CVE-2026-109460 www.cve.org
- Strix: CVE-2026-109460 www.strix.ai
- Rapid7: Patch Tuesday November 2026 (EM) www.rapid7.com
- BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.