Microsoft Windows Deployment Services: Lokale Offenlegung von Informationen

Zusammenfassung

Eine Schwachstelle aufgrund unzureichender Berechtigungsverwaltung in Windows Deployment Services (WDS) erlaubt einem berechtigten lokalen Benutzer, Informationen zu lesen, auf die er keinen Zugriff haben sollte. Gemäss dem CNA-Eintrag ist nur die Vertraulichkeit betroffen, ohne Auswirkungen auf Integrität oder Verfügbarkeit. Der Angriff erfordert eine lokale Anmeldung mit niedrigen Berechtigungen und keine Benutzerinteraktion, und er ist vor allem auf gemeinsam genutzten WDS-Servern relevant.

Betroffen

• Windows Server 2016 und 2016 Server Core-Installation: Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und 2019 Server Core-Installation: Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und 2025 Server Core-Installation: Builds 10.0.26100.0 bis vor 10.0.26100.33822
• Windows-Clientversionen und Windows Server 2012: Unbekannt.

Behoben in

• Die kumulativen Updates vom November 2026 für die betroffenen Windows-Server-Versionen installieren, welche die oben genannten Builds oder neuere bereitstellen.
• Sekundäre Quellen nennen KB5131090 (Server 2022) und KB5131080 (Server 2025). Diese sind nicht von Microsoft bestätigt und müssen vor dem Rollout mit dem MSRC-Eintrag abgeglichen werden.
• KB-Nummern für Server 2016 und 2019: Unbekannt.

Umgehung

Unbekannt. Es ist keine vom Hersteller genannte Massnahme bekannt.

Ausnutzung

• Es ist nicht bekannt, dass die Schwachstelle ausgenutzt wird.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft sie als 'Exploitation Less Likely' ein.
• Sekundäre Quellen melden, dass sie nicht im CISA-KEV-Katalog geführt wird.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle WDS-Server inventarisieren und deren Betriebssystem-Build mit dem MSRC-Eintrag abgleichen.
• Das kumulative Update vom November 2026 auf allen betroffenen WDS-Hosts einspielen, nicht nur wegen dieser Schwachstelle.
• Die lokale Anmeldung auf WDS-Servern auf Administratoren beschränken.
• Prüfen, ob KMU-Bereitstellungen noch auf hands-free Deployment über WDS angewiesen sind, das Microsoft ab den Updates vom 14. April 2026 standardmässig nicht mehr unterstützt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-112977 www.cve.org
• MSRC Security Update Guide entry msrc.microsoft.com
• Microsoft WDS hands-free deployment hardening guidance support.microsoft.com
• Rapid7 Patch Tuesday review November 2026 www.rapid7.com
• Senserva KB5131090 (Server 2022, secondary) senserva.com
• Senserva KB5131080 (Server 2025, secondary) senserva.com
• Strix.ai CVE-2026-112977 (third-party) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:50.