Windows USB Video Driver: Buffer Over-Read ermöglicht lokale Rechteausweitung

Zusammenfassung

Der Windows USB Video Driver enthält einen Buffer Over-Read (CWE-126), der einem berechtigten lokalen Benutzer eine Rechteausweitung ermöglicht. Ein Angreifer benötigt ein bestehendes lokales Konto und muss eine hohe Angriffskomplexität überwinden, daher ist dies kein Fernrisiko. Der CVSS-Vektor von Microsoft bewertet nur die Auswirkung auf die Vertraulichkeit, was mit dem Microsoft-Advisory geprüft werden sollte. Betroffen sind Windows-10-, Windows-11- und Windows-Server-2016- bis 2022-Builds unterhalb der aufgeführten Versionen.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unterhalb 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis unterhalb 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis unterhalb 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis unterhalb 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis unterhalb 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis unterhalb 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis unterhalb 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis unterhalb 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis unterhalb 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis unterhalb 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis unterhalb 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis unterhalb 10.0.20348.5870)

Behoben in

• Gemäss CVE-Eintrag sind die gepatchten Builds die im obigen Abschnitt betroffen aufgeführten Obergrenzen.
• Nicht verifizierte Drittanbieter-Angaben nennen die Kumulativen Updates vom November 2026 KB5131096 (21H2), KB5131087 (23H2), KB5132061 (24H2) und KB5131080 (Server 2025). KB-Nummern vor dem Rollout auf MSRC prüfen.

Umgehung

• Kein Workaround von Microsoft gefunden. Das Einspielen von Patches ist die verfügbare Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Der CVSS-Temporalvektor E:U zeigt bei Veröffentlichung keinen öffentlichen Exploit-Code an.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Das Kumulative Update vom November 2026 auf allen betroffenen Windows-Builds installieren, nachdem die genaue gepatchte Version im Microsoft Security Update Guide bestätigt wurde.
• Gemeinsam genutzte PCs, Terminalserver und Mehrbenutzer-Workstations priorisieren, auf denen Mitarbeitende oder Auftragnehmende lokal angemeldet sind.
• Lokale Anmeldungen einschränken und nicht benötigte USB-Videogeräte wo möglich entfernen.
• Microsoft-Advisory und CISA KEV in einigen Tagen erneut prüfen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-112990 www.cve.org
• Microsoft Security Update Guide CVE-2026-112990 msrc.microsoft.com
• Senserva KB5131080 (unverified third-party) senserva.com
• Senserva KB5131096 (unverified third-party) senserva.com
• Strix CVE-2026-112990 (unverified third-party) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:55.