Microsoft Windows Deployment Services: Path Traversal führt zu Informationsoffenlegung

Zusammenfassung

Eine relative Path Traversal-Schwachstelle (CWE-23) in Windows Deployment Services (WDS) auf Windows Server erlaubt einem autorisierten Angreifer, über das Netzwerk Informationen offenzulegen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen und Netzwerkzugriff auf die WDS-Rolle. Gemäss CVSS-Vektor beschränkt sich die Auswirkung auf die Vertraulichkeit; Integrität und Verfügbarkeit sind nicht betroffen.

Betroffen

• Windows Server 2016 und Server 2016 (Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und Server 2019 (Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und Server 2025 (Server Core): 10.0.26100.0 bis vor 10.0.26100.33822 (gemäss CVE-Eintrag; noch nicht von MSRC bestätigt)

Behoben in

Sicherheitsupdates mit Build-Nummern mindestens in der Höhe der im Abschnitt betroffene Versionen genannten Werte, veröffentlicht mit dem Patchday im November 2026. KB-Nummern: Unbekannt. Auf der MSRC-Seite überprüfen.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert. Die Einschränkung des Zugriffs auf die WDS-Rolle ist eine allgemeine Schutzmassnahme und nicht vom Hersteller dokumentiert.

Ausnutzung

• Microsoft/CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7: Ausnutzung eher unwahrscheinlich, nicht öffentlich bekannt.
• Bisher wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn identifiziert. Die CVE wurde am 10.11.2026 veröffentlicht, und die NVD-Analyse steht noch aus.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 für alle betroffenen Windows-Server-Versionen installieren; die KB-Nummer ist auf der MSRC-Seite oder im Microsoft Update Catalog zu finden.
• Die WDS-Rolle entfernen, falls sie nicht benötigt wird. Falls sie benötigt wird, auf das Deployment-VLAN beschränken und nicht aus dem Internet erreichbar machen.
• Prüfen, welche Konten auf WDS zugreifen können, insbesondere auf Domain Controllern und Dateiservern.
• Kritische Probleme des Patchdays vom November 2026 vorrangig behandeln, darunter die Remote Code Execution-Schwachstelle in WDS (CVE-2026-119951).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-113818 msrc.microsoft.com
• CVE Record: CVE-2026-113818 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Senserva: KB5131090 (secondary source) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:25.