Microsoft Windows Smart Card: Rechteerweiterung durch Heap-basiertes Buffer Overflow

Zusammenfassung

Ein Heap-basiertes Buffer Overflow in der Windows-Smart-Card-Komponente erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der CVSS-Basiswert beträgt 7.8 (hoch). Ein Angreifer benötigt einen bestehenden lokalen Zugriff, etwa ein Benutzerkonto oder Schadsoftware auf dem Gerät, und kann dann SYSTEM-Rechte erlangen, was eine vollständige Kompromittierung dieses Geräts bedeutet. Die Schwachstelle ist nicht aus dem Internet erreichbar, und eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Builds unterhalb 10.0.14393.9688)
• Windows 10 Version 1809 und Windows Server 2019 (Builds unterhalb 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds unterhalb 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds unterhalb 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds unterhalb 10.0.22631.7711)
• Windows 11 Version 24H2 und 25H2 (Builds unterhalb 10.0.26100.9974 und 10.0.26200.9974; Build-Wert für 24H2 noch zu prüfen)
• Windows 11 Version 26H1 (Builds unterhalb 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds unterhalb 10.0.26300.9974)
• Windows Server 2022 (Builds unterhalb 10.0.20348.5870)
• Unbekannt: genauer Status aller aufgeführten Versionen und ob jede noch gewartet wird.

Behoben in

• Sicherheitsupdates, veröffentlicht mit dem Patch Tuesday im November 2026, zum Beispiel KB5132059 (Windows 11 26H1) und KB5131096 (Windows 10 21H2) laut einer Drittquelle; auf MSRC oder im Microsoft Update Catalog bestätigen.
• Gepatchte Builds sind die Versionen mit einem Wert gleich oder höher als unter Betroffen aufgeführt.

Umgehung

• Unbekannt: In den geprüften Quellen ist kein Workaround dokumentiert. Die Installation des Updates ist die Behebung.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• Der temporäre Vektor von Microsoft setzt die Reife des Exploit-Codes auf unbewiesen.
• Kein öffentlicher Proof of Concept gefunden; die Suche war eingeschränkt.
• Zum Zeitpunkt der Prüfung nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf Servern, Remote-Desktop-Hosts und Mehrbenutzersystemen.
• Den installierten Build vor und nach der Einführung mit dem MSRC-Advisory abgleichen.
• Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und Smart-Card-Dienste dort deaktivieren, wo sie nicht benötigt werden.
• Die verwandte Smart-Card-Lücke CVE-2026-83584 (Use-after-free, Oktober 2026) prüfen und ebenfalls patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112794 msrc.microsoft.com
• CVE.org Record CVE-2026-112794 www.cve.org
• Strix: CVE-2026-112794 www.strix.ai
• Senserva: KB5132059 senserva.com
• Senserva: KB5131096 senserva.com
• Vulners: CVE-2026-83584 (related Smart Card CVE) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:17.