Hyland Desktop Host: Lokale Rechteausweitung durch schwache Ordnerberechtigungen
Zusammenfassung
Hyland Desktop Host für Windows vor 25.1.1 führt einen privilegierten Gateway-Dienst aus einem Ordner aus, in den nicht privilegierte Benutzer schreiben können. Ein lokaler Benutzer mit gültigem Konto kann eine schädliche DLL mit dem Namen cryptbase.dll in diesen Ordner legen, die der Dienst bei späteren Systemstarts mit den Rechten von LOCAL SERVICE lädt und ausführt. Die Schwachstelle lässt sich nicht aus der Ferne ausnutzen und setzt eine lokale Anmeldung voraus, erlaubt einem Angreifer aber die volle Kontrolle über die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Hosts.
Betroffen
- Hyland Desktop Host für Windows, Versionen vor 25.1.1
- Komponente: Dienst Hyland Desktop Host Gateway (Hyland.DesktopHost.Gateway.exe)
Behoben in
- Version 25.1.1 (laut CNA-Eintrag; noch nicht gegen die Advisory von Hyland bestätigt)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Bisher ist kein öffentlicher Proof of Concept bekannt.
- EPSS 0.00119 (sehr niedrig).
Unsere Empfehlung
- Windows-Hosts mit Hyland Desktop Host inventarisieren und die installierten Versionen erfassen.
- Advisory von Hyland beschaffen, die korrigierte Version bestätigen und auf 25.1.1 oder höher aktualisieren, wie von Hyland vorgegeben.
- Bis zur Korrektur die lokale Anmeldung auf betroffenen Hosts einschränken, insbesondere auf gemeinsam genutzten Terminals, RDS-/Citrix-Hosts und Kiosksystemen.
- Prüfen, ob nicht privilegierte Benutzer Schreibrechte auf den Hyland-DesktopHost-bin-Ordner haben, und diese entfernen.
- Auf eine aktualisierte Advisory oder einen öffentlichen Proof of Concept achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub advisory JNDataRT/Vulns Advisories/2026/1.md github.com
- Vulners CVE-2026-110359 vulners.com
- threatint CVE-2026-110359 cve.threatint.com
- OffSeq radar CVE-2026-110359 radar.offseq.com
- Strix CVE-2026-110359 www.strix.ai
- EUVD-2026-100760 vulners.com
- The Hacker Wire CVE-2026-110359 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.