Microsoft Windows: Rechteerweiterung durch Use-after-free in LLTD

Zusammenfassung

Ein Use-after-free-Fehler in der Windows-Komponente Link Layer Topology Discovery (LLTD) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt lokalen Zugriff und ein Konto mit niedrigen Rechten auf dem betroffenen System, die Angriffskomplexität ist hoch. Bei einer erfolgreichen Ausnutzung könnte der Angreifer höhere Rechte auf dem System erlangen. Microsoft meldet keine bekannte Ausnutzung.

Betroffen

• Windows 10 Version 1607: Builds vor 10.0.14393.9688
• Windows 10 Version 1809: Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Builds auf oder über den oben genannten Nummern gemäss CVE-Eintrag.
• KB-Artikelnummern: Unbekannt. Diese sind dem MSRC-Advisory zu entnehmen. Die Build-Nummern dort prüfen, da sich die Quellen bei einigen Windows-11-24H2-Einträgen unterscheiden.

Umgehung

• Keine Workaround des Herstellers bekannt.
• Die Deaktivierung von LLTD ist nicht als Schutzmassnahme bestätigt. Das Sicherheitsupdate einspielen.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven ein, und CISA SSVC führt die Ausnutzung als none.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Windows-Server-Systeme mit dem Update aus dem MSRC-Advisory so rasch wie möglich patchen, zuerst gemeinsam genutzte und nicht verwaltete Geräte.
• Inventar auf Windows-10-1607- und 1809-Systeme prüfen und bestätigen, ob diese noch Sicherheitsupdates erhalten; andernfalls Upgrades planen.
• Lokale Anmeldungen und Standardkonten auf gemeinsam genutzten Geräten einschränken und auf unerwartete Rechteänderungen oder neue lokale Administratorkonten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (Microsoft CNA) www.cve.org
• MSRC Security Update Guide advisory msrc.microsoft.com
• LLTD background (Wikipedia) en.wikipedia.org
• LLTD policy CSP (Microsoft Learn) learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:57.